Container Registry:Pull images across accounts with the password-free component

RRSA

Dans le cluster ACK sous le Compte A, vous configurez un ServiceAccount spécifique pour assumer un rôle RAM du Compte B. Ce rôle RAM reçoit les permissions nécessaires, permettant au cluster ACK de tirer des images privées depuis l'instance ACR du Compte B sans utiliser d'identifiants statiques.

1. Sous le Compte A, activez la fonctionnalité RRSA pour le cluster ACK et créez un rôle RAM avec des permissions d'assumption de rôle.

   1. Activez la fonctionnalité RRSA pour le cluster ACK.

      1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

      2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

      3. Dans l'onglet Basic Information, dans la section Security and Auditing, cliquez sur Enable à côté de RRSA OIDC.

      4. Dans la boîte de dialogue Enable RRSA, cliquez sur Confirm. Attendez que l'état du cluster passe de Updating à Running. RRSA est désormais activé.

      5. Une fois RRSA activé, survolez l'étiquette Enabled à côté de RRSA OIDC dans la section Security and Auditing. L'URL et le nom de ressource Alibaba Cloud (ARN) du fournisseur OIDC s'affichent.

   2. Créer un rôle RAM pour un fournisseur d'identité OIDC et mettez à jour sa stratégie de confiance avec le contenu suivant.

      • Remplacez <oidc_issuer_url> par l'URL du fournisseur OIDC que vous avez obtenue à l'étape précédente.

      • Remplacez <oidc_provider_arn> par l'ARN du fournisseur OIDC que vous avez obtenu à l'étape précédente.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. Attachez la stratégie d'autorisation AliyunSTSAssumeRoleAccess au rôle pour lui accorder les autorisations d'assumer un rôle, puis notez son ARN. Pour plus d'informations, consultez Gérer les autorisations d'un rôle RAM.

      1. Sur la page des détails du rôle, sous l'onglet Authorization, cliquez sur Authorize.

      2. Dans le panneau Authorize, sous Policies, recherchez et sélectionnez la stratégie AliyunSTSAssumeRoleAccess, puis cliquez sur OK.

      3. Sur la page des détails du rôle, dans la section Basic Information, consultez et notez l'ARN du rôle RAM. Pour obtenir des instructions détaillées, consultez Comment afficher l'ARN d'un rôle RAM ?

2. Sous Account B, créez un rôle RAM disposant des autorisations nécessaires pour tirer des images privées, et configurez-le de manière à ce qu'il puisse être assumé par le rôle RAM du Account A.

   1. Créer un rôle RAM pour un compte Alibaba Cloud de confiance. Modifiez la stratégie de confiance avec le script suivant pour autoriser l'assumption de rôle par le rôle du Account A.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created in Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. Créer une stratégie d'autorisation personnalisée avec le contenu suivant et attachez-la au rôle RAM pour accorder les autorisations permettant d'obtenir les informations de l'instance et de tirer des images.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Définir la durée maximale de session pour le rôle RAM sur une valeur comprise entre 3 600 et 43 200 secondes. La valeur par défaut est de 3 600 secondes.

      Assurez-vous que cette valeur correspond au paramètre expireDuration dans la configuration du composant décrite ci-après. La valeur de expireDuration ne peut pas dépasser la durée maximale de session.

   4. Sur la page des détails du rôle, dans la section Basic Information, consultez et notez l'ARN du rôle RAM.

3. Sous Account A, installez le composant sans mot de passe pour le cluster ACK et modifiez sa configuration.

   Pour plus d'informations sur les différences entre les composants suivants, consultez Comparaison des composants sans mot de passe .

   Composant géré

   1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

   2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

   3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez la carte aliyun-acr-credential-helper (managed), puis cliquez sur Install.

   4. Dans la boîte de dialogue aliyun-acr-credential-helper Parameter Configuration, sélectionnez Enable RRSA. Ensuite, cliquez sur Add, saisissez les paramètres suivants et cliquez sur Confirm.

      Configuration de l'instance ACR Enterprise Edition :

      Parameter	Description	Example
      instanceId	L'ID de l'instance ACR. Pour spécifier plusieurs ID, séparez-les par des virgules (,).	cri-XXXXX
      regionId	L'ID de région de l'instance ACR.	cn-hangzhou
      domains	Les noms de domaine utilisés pour accéder à l'instance ACR. Saisissez tous les noms de domaine d'accès (public et VPC) de l'instance ACR. Pour spécifier des noms de domaine spécifiques, séparez-les par des virgules (,).	XXXXX-registry.cn-hangzhou.cr.aliyuncs.com
      assumeRoleARN	L'ARN du rôle RAM que vous avez créé dans le Account B.	acs:ram::100XXXXXXXX9630:role/XXXX
      expireDuration	La période de validité des identifiants temporaires pour l'accès intercomptes. Saisissez la durée maximale de session du rôle RAM que vous avez créé sous le Account B.	3600
      rrsaRoleARN	L'ARN du rôle RAM que vous avez créé dans le Account A.	acs:ram::128XXXXXXXXXX09011:role/XXXX
      rrsaOIDCProviderRoleARN	L'ARN du fournisseur du cluster ACK. Saisissez l'ARN du fournisseur du fournisseur d'identité RRSA OIDC pour le cluster ACK sous le Account A.	acs:ram::128XXXXXXXXXX09011:oidc-provider/ack-rrsa-c8864XXXXXXXXXXXXXXXXXX99356a636

      Pour plus d'informations sur les autres paramètres, consultez Configuration du composant .

   aliyun-acr-credential-helper

   1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

   2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

   3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez le composant aliyun-acr-credential-helper et cliquez sur Install. Dans la boîte de dialogue qui s'affiche, définissez l'option tokenMode sur auto, puis cliquez sur OK.

   4. Modifiez le ConfigMap du composant sans mot de passe.

      1. Dans le volet de navigation de gauche, choisissez Configurations > ConfigMaps.

      2. Sur la page ConfigMaps, sélectionnez kube-system dans la liste déroulante Namespace. Ensuite, recherchez acr-configuration et cliquez sur Edit YAML dans la colonne Actions. Mettez à jour la configuration en vous basant sur l'exemple suivant.

         data:
           service-account: "default"
           watch-namespace: "all"
           expiring-threshold: "15m"
           notify-email: "c*@example.com"
           acr-registry-info: |
             - instanceId: "cri-xxx"                                   # ACR instance ID.
               regionId: "cn-hangzhou"                                 # ACR instance region ID.
               domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"   # ACR instance access domain name.
               rrsaRoleARN: "<ARN of the role created under Account A>"
               rrsaOIDCProviderRoleARN: "<OIDC Provider ARN from the cluster's Basic Information page in the ACK console under Account A>"
               assumeRoleARN: "<ARN of the role created under Account B>"
               expireDuration: 3600                                    # Maximum session duration for the RAM role under Account B. Default: 3600.             
           rrsa: |
             enable: true                                              # Enable the RRSA feature for the password-free component. 

Rôle RAM Worker

Dans le cluster ACK sous le Account A, configurez le rôle RAM Worker par défaut du cluster pour qu'il assume un rôle RAM du Account B disposant des autorisations nécessaires pour tirer des images. Cela permet au cluster ACK d'accéder aux images privées du Account B et de les tirer.

1. Sous le Account A, affichez le rôle RAM Worker du cluster et accordez-lui les autorisations d'assumer un rôle.

   1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

   2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

   3. Sur la page Cluster Information, cliquez sur l'onglet Basic Information. Dans la section Cluster Resources, cliquez sur le lien situé à droite de Worker RAM Role.

   4. Attachez la stratégie d'autorisation AliyunSTSAssumeRoleAccess au rôle pour lui accorder les autorisations d'assumer un rôle, puis notez son ARN. Pour plus d'informations, consultez Gérer les autorisations d'un rôle RAM.

      1. Sur la page des détails du rôle, sous l'onglet Authorization, cliquez sur Authorize.

      2. Dans le panneau Authorize, sous Policies, recherchez et sélectionnez la stratégie AliyunSTSAssumeRoleAccess, puis cliquez sur OK.

      3. Sur la page des détails du rôle, dans la section Basic Information, consultez et notez l'ARN du rôle RAM. Pour obtenir des instructions détaillées, consultez Comment afficher l'ARN d'un rôle RAM ?

2. Sous le Account B, créez un rôle RAM disposant des autorisations nécessaires pour tirer des images privées, et configurez-le de manière à ce qu'il puisse être assumé par le rôle RAM Worker du cluster ACK dans le Account A.

   1. Créer un rôle RAM pour un compte Alibaba Cloud de confiance.

   2. Créer une stratégie d'autorisation personnalisée avec le contenu suivant et attachez-la au rôle RAM pour accorder les autorisations permettant d'obtenir les informations de l'instance et de tirer des images.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Sur la page des détails du rôle RAM, cliquez sur l'onglet Trust Policy et Edit Trust Policy avec le contenu suivant. Cela permet au rôle RAM Worker du cluster ACK dans le Account A d'assumer le rôle RAM dans le Account B.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created under Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   4. Sur la page des détails du rôle, dans la section Basic Information, consultez et notez l'ARN du rôle RAM. Pour obtenir des instructions détaillées, consultez Comment afficher l'ARN d'un rôle RAM ?

3. Sous le Account A, installez le composant sans mot de passe pour le cluster ACK et modifiez sa configuration.

   1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

   2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

   3. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez le composant aliyun-acr-credential-helper et cliquez sur Install. Dans la boîte de dialogue qui s'affiche, définissez l'option tokenMode sur workerRole, puis cliquez sur Confirm.

   4. Modifiez le ConfigMap du composant sans mot de passe.

      1. Dans le volet de navigation de gauche, choisissez Configurations > ConfigMaps.

      2. Sur la page ConfigMaps, sélectionnez kube-system dans la liste déroulante Namespace. Ensuite, recherchez acr-configuration et cliquez sur Edit YAML dans la colonne Actions. Mettez à jour la configuration en vous basant sur l'exemple suivant.

         data:
             service-account: "default"
             watch-namespace: "all"
             expiring-threshold: "15m"
             notify-email: "c*@example.com"
             acr-registry-info: |
               - instanceId: "cri-xxx"                                    # ACR Enterprise Edition instance ID.
                 regionId: "cn-hangzhou"                                  # ACR Enterprise Edition region ID.
                 domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition access domain name.
                 assumeRoleARN: "<ARN of the role created under Account B>"
                 expireDuration: 3600                                     # Maximum session duration for the RAM role under Account B. Default: 3600.

Clé d'accès utilisateur RAM

Dans le cluster ACK sous le Account A, le composant sans mot de passe stocke l'ID de clé d'accès (AK) et la clé d'accès secrète (SK) d'un utilisateur RAM du Account B pour tirer des images privées depuis le Account B. Bien que cette méthode soit simple à configurer, elle présente un risque de sécurité car la paire de clés d'accès est stockée en texte clair.

1. Sous le Account B, créez un utilisateur RAM et assurez-vous qu'il dispose des autorisations cr.** nécessaires.

   1. Créer un utilisateur RAM.

   2. Créer une stratégie d'autorisation personnalisée avec le contenu suivant et attachez-la à l'utilisateur RAM pour accorder les autorisations permettant d'obtenir les informations de l'instance et de tirer des images.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Créer une paire de clés d'accès et notez l'AccessKey ID et l'AccessKey Secret.

2. Sous le Account A, installez le composant sans mot de passe pour le cluster ACK et modifiez sa configuration.

   1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

   2. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Cluster Information.

   3. Sur la page Clusters, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons .

   4. Sur la page Add-ons, cliquez sur l'onglet Security, recherchez le composant aliyun-acr-credential-helper et cliquez sur Install. Dans la boîte de dialogue qui s'affiche, définissez l'option tokenMode sur auto, puis cliquez sur OK.

   5. Modifiez le ConfigMap du composant sans mot de passe.

      1. Dans le volet de navigation de gauche, choisissez Configurations > ConfigMaps.

      2. Sur la page ConfigMaps, sélectionnez kube-system dans la liste déroulante Namespace. Ensuite, recherchez acr-configuration et cliquez sur Edit YAML dans la colonne Actions. Mettez à jour la configuration en vous basant sur l'exemple suivant.

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: ""                        # ACR Enterprise Edition instance ID.             
              regionId: "cn-hangzhou"               # ACR Enterprise Edition region ID.    
              customAccessKey: "xxxxx"              # AccessKey ID of the RAM user under Account B.
              customAccessKeySecret: "xxxxxx"       # AccessKey Secret of the RAM user under Account B. 

Étape 3 : Vérifier le tirage d'images entre comptes

1. Dans l'instance ACR Enterprise Edition du Compte B, récupérez l'Public endpoint ou l'adresse VPC de l'image de conteneur, selon vos besoins.

   Accédez à la page Basic Information du dépôt d'images cible. Les adresses des endpoints sont affichées sur le côté droit de la page.

2. Dans le cluster ACK du Compte A, accédez à Workloads > Deployments et créez une charge de travail en utilisant l'image de conteneur.

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         containers:
         - name: nginx
           image: ******.cn-hangzhou.cr.aliyuncs.com/instance/instancetest:v1 # Specify the ACR image address from Account B 
           ports:
           - containerPort: 80

3. Un événement Pod affichant le message Successfully pulled image "XXX" in XXXs (XXXs including waiting). Image size: XXX bytes. indique que le composant sans mot de passe a correctement tiré l'image entre les comptes.

   Sur la page des détails de la charge de travail, dans l'onglet Pods, vérifiez que le statut du Pod est Running et que la colonne Image affiche l'adresse du dépôt d'images inter-comptes, par exemple test332-registry.cn-hangzhou.cr.aliyuncs.com/instance/test:v1.

FAQ