Afin de limiter davantage les permissions du rôle RAM des nœuds de travail pour les clusters managés Container Service for Kubernetes (ACK), ACK prévoit un déploiement progressif du composant aliyun-acr-credential-helper le 3 avril 2023. La nouvelle version d'aliyun-acr-credential-helper ne dépendra plus de la stratégie d'autorisation attachée au rôle RAM des nœuds de travail des clusters managés ACK. Pour utiliser normalement la nouvelle version d'aliyun-acr-credential-helper, vous devez attribuer le rôle système AliyunCSManagedAcrRole à ACK.
Périmètre d'impact
Seuls les clusters managés ACK (y compris les clusters ACK Standard et ACK Pro) créés le 3 avril 2023 ou après cette date et utilisant aliyun-acr-credential-helper sont concernés.
Les clusters ACK créés avant le 3 avril 2023 peuvent continuer à utiliser aliyun-acr-credential-helper comme auparavant.
Impact
Si vous n'attribuez pas le rôle AliyunCSManagedAcrRole à ACK avant le 3 avril 2023, vous ne pourrez ni installer ni mettre à jour le composant aliyun-acr-credential-helper dans les clusters managés ACK créés le 3 avril 2023 ou après cette date.
Dans ce cas, la console affichera Échec de la vérification préalable. pour le composant. Cliquez sur Afficher le rapport et suivez les instructions de la page pour attribuer le rôle AliyunCSManagedAcrRole à ACK.
Cette modification n'affecte pas les clusters créés avant le 3 avril 2023. Ces clusters peuvent continuer à utiliser aliyun-acr-credential-helper comme auparavant. En revanche, l'extraction d'images via aliyun-acr-credential-helper est impactée pour les clusters créés le 3 avril 2023 ou après. Le tableau ci-dessous décrit l'impact et les recommandations associées.
| Scénario d'extraction d'images | Mise en œuvre | État de la stratégie d'autorisation attachée au rôle RAM des nœuds de travail | Impact et recommandation |
| Extraire des images au sein du même compte | La stratégie n'est pas modifiée. | Aucun impact. Utilisez la méthode par défaut pour installer et utiliser la nouvelle version du composant. | |
| La stratégie est modifiée pour prendre en charge la personnalisation de la stratégie d'autorisation Container Registry. | Par défaut, la nouvelle version du composant ne prend pas en charge la personnalisation de la stratégie d'autorisation Container Registry. Si vous souhaitez personnaliser une stratégie d'autorisation Container Registry, tenez compte des recommandations suivantes :
| ||
| Extraire des images depuis un autre compte | Assumer le rôle RAM des nœuds de travail | La stratégie est modifiée. Dans ce scénario, vous devez modifier le rôle RAM des nœuds de travail. | Si vous souhaitez extraire des images depuis un autre compte, tenez compte des recommandations suivantes :
|
| Utiliser le mode RRSA | La stratégie n'est pas modifiée. Vous n'avez pas besoin de modifier le rôle RAM des nœuds de travail. | Aucun impact. Continuez à utiliser cette méthode pour extraire des images. | |
| Utiliser l'ID AccessKey et le secret AccessKey d'un utilisateur RAM | La stratégie n'est pas modifiée. Vous n'avez pas besoin de modifier le rôle RAM des nœuds de travail. | Aucun impact. Continuez à utiliser cette méthode pour extraire des images. | |
| Extraire des images entre différentes régions | La stratégie n'est pas modifiée. | Aucun impact. Utilisez la méthode par défaut pour installer et utiliser la nouvelle version du composant. | |
| La stratégie est modifiée pour prendre en charge la personnalisation de la stratégie d'autorisation Container Registry. | Par défaut, la nouvelle version du composant ne prend pas en charge la personnalisation de la stratégie d'autorisation Container Registry. Si vous souhaitez personnaliser une stratégie d'autorisation Container Registry, tenez compte des recommandations suivantes :
| ||
Attribution du rôle AliyunCSManagedAcrRole à ACK
Vous pouvez toujours attribuer le rôle système AliyunCSManagedAcrRole à ACK après le 3 avril 2023. Toutefois, afin de garantir l'installation et la mise à jour du composant aliyun-acr-credential-helper dans les clusters créés le 3 avril 2023 ou après cette date une fois la nouvelle version publiée, nous vous recommandons d'attribuer le rôle AliyunCSManagedAcrRole à ACK avant le 3 avril 2023. Cette section explique comment attribuer le rôle AliyunCSManagedAcrRole à ACK.
Vous n'avez besoin d'effectuer cette autorisation qu'une seule fois par compte Alibaba Cloud.
Procédure
Connectez-vous à la console d'autorisation d'accès aux ressources cloud en utilisant un compte Alibaba Cloud ou un utilisateur RAM disposant de l'autorisation AdministratorAccess.
Sur la page Cloud Resource Access Authorization, cliquez sur Confirm Authorization Policy pour attribuer le rôle AliyunCSManagedAcrRole à ACK.
Stratégie d'autorisation
Par défaut, le composant aliyun-acr-credential-helper s'appuie sur la stratégie d'autorisation suivante :
{
"Action": [
"cr:GetAuthorizationToken",
"cr:ListInstanceEndpoint",
"cr:PullRepository"
],
"Resource": [
"*"
],
"Effect": "Allow"
}