Container Service for Kubernetes:Tirer des images depuis une instance ACR Enterprise Edition dans le même compte à l'aide du module complémentaire sans identifiants

Étape 1 : Installer le module complémentaire

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez la carte aliyun-acr-credential-helper (géré), puis cliquez sur Install.

4. Sur la page Installer le module complémentaire aliyun-acr-credential-helper, consultez les paramètres AcrInstanceInfo et les autres options. AcrInstanceInfo contient les paramètres de chaque instance ACR associée au module complémentaire. Les autres options correspondent aux paramètres du module complémentaire. Si vous n'avez pas besoin de modifier les namespaces ou les ServiceAccounts surveillés par le module, vous pouvez conserver les paramètres par défaut.

   Une fois le module complémentaire installé, vous pouvez modifier ses paramètres en cliquant sur Configurations sur la carte aliyun-acr-credential-helper (géré) de la page Add-ons .

   Paramètres d'association d'instance ACR :

   AcrInstanceInfo		Description
   InstanceId		L'ID de l'instance ACR. Vous pouvez obtenir l'ID depuis la console Container Registry. Important Laissez ce champ vide pour les instances ACR Personal Edition. Ce champ est obligatoire pour les instances ACR Enterprise Edition.
   regionId		L'ID de la région où l'instance ACR est déployée. Vous pouvez obtenir l'ID depuis la console Container Registry. Important Ce paramètre est requis pour les tirages d'images interrégions.
   domains		Les noms de domaine utilisés par le module complémentaire sans identifiants pour accéder à l'instance ACR. Par défaut, cela inclut tous les noms de domaine (Internet et VPC) de l'instance ACR spécifiée. Pour spécifier plusieurs noms de domaine, séparez-les par des virgules (,).
   Paramètres pour les tirages d'images intercomptes Ces paramètres s'appliquent aux tirages d'images intercomptes. Si vous n'avez pas besoin de cette fonctionnalité, laissez les champs vides.	assumeRoleARN	Aucune configuration n'est requise pour les tirages au sein du même compte. Pour les tirages intercomptes, consultez Tirer des images entre comptes.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Paramètres du module complémentaire

   Paramètre	Description
   Activer RRSA	Sélectionnez cette case pour activer RRSA. Aucune configuration n'est requise pour les tirages au sein du même compte. Pour les tirages intercomptes, consultez Tirer des images entre comptes.
   watchNamespace	Les namespaces dans lesquels vous souhaitez activer le tirage d'images sans identifiants. La valeur par défaut est default. Définissez la valeur sur all pour activer cette fonctionnalité pour tous les namespaces. Pour spécifier plusieurs namespaces, séparez-les par des virgules (,). Nous vous recommandons de spécifier uniquement vos namespaces métier et d'éviter d'utiliser all ou les namespaces des composants système du cluster afin d'éviter toute perturbation des tirages d'images système.
   serviceAccount	Spécifie le ServiceAccount auquel s'applique le module complémentaire sans identifiants géré. La valeur par défaut est Default. Une valeur de Default applique le module au ServiceAccount par défaut dans les namespaces spécifiés. Si vous définissez la valeur sur *, le module s'applique à tous les ServiceAccounts dans les namespaces spécifiés. Pour spécifier plusieurs ServiceAccounts, séparez-les par une virgule (,).
   expiringThreshold	Le seuil d'expiration des identifiants dans le module complémentaire. La valeur par défaut est 15m.
   notifyEmail	Aucune configuration n'est requise.

Étape 2 : Tirer une image

Après avoir installé et configuré le module complémentaire sans identifiants, spécifiez un ServiceAccount associé au module lors de la création d'une charge de travail. Cela permet le tirage d'images sans identifiants.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Étape 1 : Installer le module complémentaire

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez la carte aliyun-acr-credential-helper, puis cliquez sur Install.

4. Sur la page Parameters, sélectionnez un mode d'autorisation dans la liste déroulante tokenMode et cliquez sur OK. Une fois le module complémentaire installé, vous devez le configurer avant de pouvoir tirer des images. Pour plus d'informations, consultez Étape 2 : Mettre à jour la configuration du module complémentaire (ajouter une instance ACR).

   tokenMode	Description
   auto	(Recommandé) Le module détecte l'heure de création du cluster et choisit automatiquement un mode d'autorisation. Les clusters créés avant le 3 avril 2023 utilisent le mode workerRole. Les clusters créés le 3 avril 2023 ou après cette date utilisent le mode managedRole. Important Les versions d'aliyun-acr-credential-helper publiées le 3 avril 2023 ou après cette date fournissent un paramètre qui vous permet de personnaliser le rôle RAM dont dépend le module complémentaire. Pour plus d'informations, consultez [Modification du produit] Annonce concernant la modification des autorisations requises par le module complémentaire aliyun-acr-credential-helper.
   managedRole	Le module utilise le rôle AliyunCSManagedAcrRole autorisé dans les Prérequis pour obtenir les autorisations.
   workerRole	Le module utilise le rôle RAM de nœud de calcul du cluster pour obtenir les autorisations. Vous devez accorder des autorisations spécifiques au rôle RAM de nœud de calcul. Sélectionner workerRole comme mode de module complémentaire Si vous sélectionnez workerRole comme mode d'autorisation du module complémentaire, le rôle RAM de nœud de calcul du cluster doit disposer des autorisations suivantes. Pour savoir comment accorder des autorisations, consultez Gérer les autorisations de rôle RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Important Sélectionnez ce mode si vous devez tirer des images entre comptes en assumant un rôle.

Étape 2 : Mettre à jour la configuration du module complémentaire

Une fois le module complémentaire sans identifiants installé, vous devez configurer le ConfigMap acr-configuration pour ajouter une instance ACR avant de pouvoir tirer des images. Vous pouvez procéder via la console ou kubectl.

Étape 3 : Tirer une image

Après avoir installé et configuré le module complémentaire sans identifiants, spécifiez un ServiceAccount associé au module lors de la création d'une charge de travail. Cela permet le tirage d'images sans identifiants.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Activer l'utilisation immédiate des ServiceAccounts

Lorsqu'elle est activée, le module complémentaire sans identifiants utilise un Webhook pour surveiller les modifications des ServiceAccounts dans le cluster. Lorsqu'un nouveau ServiceAccount est créé, le module injecte immédiatement le Secret sans identifiants. Cela s'avère utile dans les scénarios où un ServiceAccount est utilisé immédiatement après sa création, par exemple lorsqu'un Helm Chart crée simultanément un ServiceAccount et un Deployment. Cette fonctionnalité peut affecter les performances du module complémentaire et n'est pas recommandée pour une utilisation générale.

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10

Dépanner les échecs de tirage d'images

Une cause possible est une configuration incorrecte du module complémentaire sans identifiants, par exemple :

• Les informations d'instance configurées dans le module complémentaire sans identifiants ne correspondent pas à l'instance ACR.

• L'adresse d'image utilisée pour le tirage ne correspond pas au nom de domaine spécifié dans les informations d'instance du module.

Suivez les étapes de cette rubrique pour résoudre le problème.

Si le module est correctement configuré mais que le tirage d'images échoue toujours, cela peut être dû à un conflit entre un champ imagePullSecrets spécifié manuellement dans le YAML de la charge de travail et le module complémentaire sans identifiants. Pour résoudre ce problème, supprimez manuellement le champ imagePullSecrets et recréez le Pod.

Comment utiliser imagePullSecrets ?

Les instances ACR Personal Edition créées le 9 septembre 2024 ou après cette date ne prennent pas en charge le module complémentaire sans identifiants. Pour ces instances, nous vous recommandons de stocker le nom d'utilisateur et le mot de passe dans un Secret et de le référencer dans le champ imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Use the Secret created in the previous step.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Replace with the ACR image address.