Container Registry:Accéder à une instance Édition Entreprise depuis d'autres régions ou un centre de données

Cas d'utilisation

Exemple

Cet exemple illustre l'accès à une instance Édition Entreprise en Chine (Hangzhou) depuis la Chine (Shanghai), sous le même compte Alibaba Cloud. Détails de l'environnement :

• VPC1

  • Région : Chine (Hangzhou)

  • Bloc CIDR IPv4 : 10.0.0.0/16

  • vSwitch 1, situé dans la zone J, avec le bloc CIDR 10.0.0.0/24

  • vSwitch 2, situé dans la zone K, avec le bloc CIDR 10.0.1.0/24 (déploiement multi-zones pour la reprise après sinistre)

  • Adresse IP d'ECS1 : 10.0.0.1 (utilisée pour vérifier la connectivité)

• VPC2

  • Région : Chine (Shanghai)

  • Bloc CIDR IPv4 : 172.16.0.0/16

  • vSwitch 1, situé dans la zone M, avec le bloc CIDR 172.16.0.0/24

  • vSwitch 2, situé dans la zone N, avec le bloc CIDR 172.16.1.0/24

  • Adresse IP d'ECS2 : 172.16.0.1

Flux de travail :

1. Établissez une connexion interrégion : Connectez VPC1 et VPC2 via CEN. Connecter des VPC entre différentes régions.

2. En Chine (Hangzhou), obtenez les informations pour ces trois domaines :

   Remarque

   Les instances ECS situées dans la même région que l'instance Édition Entreprise doivent y accéder via le réseau interne. Configurer le contrôle d'accès pour un VPC.

   • Le domaine de l'instance Édition Entreprise, utilisé pour l'accès API afin de pousser et d'extraire des images.

   • Le domaine du service d'authentification, utilisé pour la vérification d'identité.

   • Le domaine du bucket OSS associé, utilisé pour le stockage et l'accès aux images.

3. Configurez les tables de routage : Ajoutez les adresses IP ou les blocs CIDR obtenus aux tables de routage du réseau source pour l'accès interrégion via CEN.

4. Depuis la Chine (Shanghai), vérifiez l'accès à l'instance Édition Entreprise en Chine (Hangzhou).

Étape 1 : Établir une connexion interrégion

Utilisez CEN pour connecter VPC1 en Chine (Hangzhou) et VPC2 en Chine (Shanghai). Connecter des VPC entre différentes régions.

Étape 2 : Obtenir les informations de domaine

1. Connectez-vous à ECS1 en Chine (Hangzhou) et obtenez les adresses IP VPC de l'instance Édition Entreprise, du service d'authentification et du bucket OSS.

   • Obtenez l'adresse IP d'accès VPC de l'instance Édition Entreprise.

     1. Connectez-vous à la console Container Registry.

     2. Dans la barre de navigation supérieure, sélectionnez une région.

     3. Dans le volet de navigation de gauche, cliquez sur Instances.

     4. Sur la page Instances, cliquez sur l'instance Édition Entreprise que vous souhaitez gérer.

     5. Dans le volet de navigation de gauche de la page de gestion de l'instance, choisissez Repository > Access Control.

     6. Sous l'onglet VPC, copiez le nom de domaine d'accès VPC de l'instance Édition Entreprise. Ensuite, exécutez ping sur le nom de domaine depuis l'instance ECS pour obtenir son adresse IP.

   • Obtenez l'adresse IP VPC du service d'authentification.

     Remarque

     Vous pouvez ignorer cette étape en activant la prise en charge du domaine d'authentification par l'instance.

     1. Exécutez la commande suivante pour obtenir le nom de domaine VPC du service d'authentification. Remplacez InstanceName par le nom de votre instance Édition Entreprise et RegionId par son ID de région.

        curl -vv https://${InstanceName}-registry-vpc.${RegionId}.cr.aliyuncs.com/v2/

        La commande renvoie une sortie similaire à celle ci-dessous. L'en-tête de réponse www-authenticate contient la valeur Bearer realm, qui correspond au nom de domaine VPC du service d'authentification, par exemple https://dockerauth-vpc.cn-hangzhou.aliyuncs.com/auth.

        * successfully set certificate verify locations:
        *   CAfile: /etc/pki/tls/certs/ca-bundle.crt
          CApath: none
        * TLSv1.3 (OUT), TLS handshake, Client hello (1):
        * TLSv1.3 (IN), TLS handshake, Server hello (2):
        * TLSv1.2 (IN), TLS handshake, Certificate (11):
        * TLSv1.2 (IN), TLS handshake, Server key exchange (12):
        * TLSv1.2 (IN), TLS handshake, Server finished (14):
        * TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
        * TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
        * TLSv1.2 (OUT), TLS handshake, Finished (20):
        * TLSv1.2 (IN), TLS handshake, Finished (20):
        * SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
        * ALPN, server accepted to use h2
        * Server certificate:
        *   subject: C=CN; ST=ZheJiang; L=HangZhou; O=Alibaba (China) Technology Co., Ltd.; CN=*.cr.aliyuncs.com
        *   start date: Dec 23 03:51:02 2024 GMT
        *   expire date: Jan 24 03:51:01 2026 GMT
        *   subjectAltName: host "xxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com" matched cert's "*.cn-hangzhou.cr.aliyuncs.com"
        *   issuer: C=BE; O=GlobalSign nv-sa; CN=GlobalSign GCC R3 OV TLS CA 2024
        *   SSL certificate verify ok.
        * Using HTTP2, server supports multi-use
        * Connection state changed (HTTP/2 confirmed)
        * Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
        * Using Stream ID: 1 (easy handle 0x560b1b3ce6f0)
        > GET /v2/ HTTP/2
        > Host: xxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com
        > User-Agent: curl/7.61.1
        > Accept: */*
        >
        * Connection state changed (MAX_CONCURRENT_STREAMS == 128)!
        < HTTP/2 401
        < date: Thu, 13 Mar 2025 04:05:48 GMT
        < content-type: application/json; charset=utf-8
        < content-length: 87
        < docker-distribution-api-version: registry/2.0
        < www-authenticate: Bearer realm="https://dockerauth-vpc.cn-hangzhou.aliyuncs.com/auth",service="registry.aliyuncs.com:cn-hangzhou:china:cri-xxx:2a"

     2. Exécutez ping pour obtenir l'adresse IP correspondante.

        ping dockerauth-vpc.cn-hangzhou.aliyuncs.com  

   • Obtenez l'adresse IP VPC du bucket OSS.

     Remarque

     Ignorez cette étape si vous accédez aux ressources OSS via un réseau privé en utilisant PrivateLink et pointez le nom de domaine OSS vers l'endpoint PrivateLink avec un enregistrement CNAME.

     Exécutez ping pour obtenir l'adresse IP correspondante.

     1. Obtenez le nom de domaine VPC du bucket OSS en Chine (Hangzhou). Accéder à OSS en utilisant un endpoint et un nom de domaine de bucket.

     2. Exécutez la commande ping pour obtenir l'adresse IP.

        ping oss-cn-hangzhou-internal.aliyuncs.com

     Remarque

     Si vous utilisez un bucket OSS personnalisé, le nom de domaine est ${OSSBucketName}.oss-${RegionId}-internal.aliyuncs.com.

   Exemples d'adresses IP pour les domaines de l'instance Édition Entreprise en Chine (Hangzhou) :

   Service	Nom de domaine	Adresse IP
   Instance Édition Entreprise	xxxxxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com	10.94.205.198
   Service d'authentification	dockerauth-vpc.cn-hangzhou.aliyuncs.com	100.103.7.181/32
   Bucket OSS	oss-cn-hangzhou-internal.aliyuncs.com	100.118.28.43/32

Étape 3 : Configurer les tables de routage

• Dans VPC2 en Chine (Shanghai), ajoutez les adresses IP du service d'authentification et du bucket OSS à la table de routage.

  1. Connectez-vous à la console VPC.

  2. Dans le volet de navigation de gauche, cliquez sur Route Tables.

  3. Sur la page Route Tables, recherchez la table de routage personnalisée cible et cliquez sur son ID.

  4. Sur la page de détails de la table de routage personnalisée, choisissez Route Entry List > Custom Route, puis cliquez sur Add Route Entry.

  5. Dans le panneau Add Route Entry, configurez l'entrée de routage comme suit, puis cliquez sur Confirm.

     Paramètre	Description	Actions
     Destination CIDR Block	Saisissez le bloc CIDR de destination pour le transfert. Pour IPv4 CIDR, saisissez 100.103.7.181/32 et 100.118.28.43/32. Ajoutez chaque adresse IP en tant qu'entrée distincte.	Sélectionnez Transit Router pour Next Hop Type, puis sélectionnez l'instance de transit router correspondante pour Transit Router.
     Next Hop Type	Sélectionnez le type de saut suivant. Sélectionnez Transit Router. Le trafic vers le bloc CIDR de destination est acheminé via le transit router sélectionné. Ensuite, sélectionnez le Transit Router créé à l'Étape 1 : Établir une connexion interrégion.

• Ajoutez une entrée de routage pour 100.0.0.0/8 (couvrant les adresses IP du service d'authentification et du bucket OSS) à la table de routage du transit router en Chine (Shanghai).

  1. Connectez-vous à la console CEN.

  2. Sur la page CEN Instance, cliquez sur l'ID de l'instance CEN que vous souhaitez gérer.

  3. Sous l'onglet Basic Settings > Transit Router, recherchez l'instance de transit router en Chine (Shanghai) et cliquez sur son ID.

  4. Sur la page de détails du transit router, cliquez sur l'onglet Route Table.

  5. Dans la section de gauche, cliquez sur l'ID de la table de routage cible. Sur la page de détails de la table de routage, cliquez sur l'onglet Route, puis cliquez sur Créer une entrée de routage.

  6. Dans la boîte de dialogue Add Route Entry, configurez l'entrée de routage, puis cliquez sur Confirm.

     Paramètre	Description	Actions
     CIDR de destination	Saisissez le bloc CIDR de destination. Pour IPV4, saisissez 100.0.0.0/8 (couvre les adresses IP du service d'authentification et d'OSS).	Définissez Blackhole Route sur No, et pour Next Hop, sélectionnez la pièce jointe interrégion de type TR (par exemple, sh-hz-attach).
     Route Blackhole	Route Blackhole : Non
     Saut suivant	Saut suivant : Définissez le type de pièce jointe sur TR et sélectionnez l'instance CEN de l'Étape 1 : Établir une connexion interrégion.

• Ajoutez une entrée de routage pour 100.0.0.0/8 (couvrant les adresses IP du service d'authentification et du bucket OSS) à la table de routage du transit router en Chine (Hangzhou).

  1. Sous l'onglet Basic Settings > Transit Router, recherchez l'instance de transit router en Chine (Hangzhou) et cliquez sur son ID.

  2. Sur la page de détails du transit router, cliquez sur l'onglet Route Table.

  3. Dans la section de gauche, cliquez sur l'ID de la table de routage cible. Sur la page de détails de la table de routage, cliquez sur l'onglet Route, puis cliquez sur Créer une entrée de routage.

  4. Dans la boîte de dialogue Add Route Entry, configurez l'entrée de routage, puis cliquez sur Confirm.

     Paramètre	Description	Actions
     CIDR de destination	Saisissez le bloc CIDR de destination. Pour IPV4, saisissez 100.0.0.0/8 (couvre les adresses IP du service d'authentification et d'OSS).	Définissez Blackhole Route sur No, et pour Next Hop, sélectionnez l'instance de pièce jointe VPC.
     Route Blackhole	Route Blackhole : Non
     Saut suivant	Saut suivant : Définissez le type de pièce jointe sur VPC et sélectionnez l'ID de l'instance VPC pour la Chine (Hangzhou).

Étape 4 : Vérifier l'accès