Elastic Container Instance:Extraire des images ACR sans secrets

Lorsqu'une instance ACR et une ressource ECI appartiennent au même compte Alibaba Cloud, l'accès sans secret est activé par défaut pour les instances Édition Personnelle et pour les instances Édition Entreprise utilisant un nom de domaine par défaut. Vous pouvez éventuellement configurer un rôle Resource Access Management (RAM) afin de restreindre cet accès, par exemple pour autoriser les extractions uniquement depuis une instance ACR spécifique.

Cette configuration s'effectue en deux étapes.

Étape 1 : Créer et autoriser un rôle RAM

1. Créez un rôle RAM pour un service Alibaba Cloud de confiance. Pour plus d'informations, consultez la page Créer un rôle RAM pour un service Alibaba Cloud de confiance.

   Tenez compte des paramètres suivants :

   • Type de principal : Service Cloud

   • Nom du principal : Elastic Container Instance

   • Nom du rôle : acr-test (exemple)

2. Créez une stratégie d'autorisation personnalisée. Pour plus d'informations, consultez la page Créer une stratégie d'autorisation personnalisée.

   La stratégie suivante autorise l'extraction d'images uniquement depuis l'instance ACR spécifiée. Pour plus d'informations sur la rédaction d'une stratégie d'autorisation, consultez la page Éléments de stratégie.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. Attachez la stratégie d'autorisation personnalisée au rôle RAM. Pour plus d'informations, consultez la page Accorder des autorisations à un rôle RAM.

4. Recherchez le nouveau rôle acr-test et cliquez sur son nom pour ouvrir la page des détails. Vérifiez les autorisations et récupérez l'ARN.

   Dans la section Informations de base, repérez le champ ARN (formaté comme acs:ram::<AccountID>:role/acr-test) et cliquez sur le bouton de copie situé à côté. Dans l'onglet Permissions, vérifiez que la stratégie personnalisée acr est bien attachée.

Étape 2 : Spécifier le rôle RAM

Lors de l'appel de l'opération CreateContainerGroup pour créer une instance ECI ou de l'opération CreateImageCache pour créer un cache d'image, définissez le paramètre AcrRegistryInfo.N.ArnService afin de spécifier le rôle RAM à utiliser pour la création de la ressource. Le tableau suivant décrit ce paramètre. Pour plus d'informations, consultez les pages CreateContainerGroup et CreateImageCache.

L'exemple suivant montre comment transmettre les paramètres via l'OpenAPI pour créer une instance ECI :

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

Étape 1 : Créer et autoriser des rôles RAM

1. Dans le Compte A, qui possède la ressource ECI, créez et autorisez un rôle RAM.

   1. Créez un rôle RAM pour un service Alibaba Cloud de confiance. Pour plus d'informations, consultez la page Créer un rôle RAM pour un service Alibaba Cloud de confiance.

      Tenez compte des paramètres suivants :

      • Type de principal : Service Cloud

      • Nom du principal : Elastic Container Instance

      • Nom du rôle : role-assume (exemple)

   2. Accordez au rôle role-assume les autorisations nécessaires pour appeler l'opération AssumeRole du Security Token Service (STS). Pour plus d'informations, consultez la page Accorder des autorisations à un rôle RAM.

      Attachez la stratégie système AliyunSTSAssumeRoleAccess.

   3. Recherchez le rôle role-assume nouvellement créé, cliquez sur son nom pour accéder à la page des détails, puis vérifiez les autorisations et la stratégie de confiance, et récupérez l'ARN.

      • Autorisations et ARN

        L'ARN du rôle RAM est acs:ram::<AccountID>:role/role-assume. Le rôle bénéficie de la stratégie système AliyunSTSAssumeRoleAccess, qui lui permet d'appeler l'opération STS AssumeRole.

      • Stratégie de confiance

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. Dans le Compte B, qui possède l'instance ACR, créez et autorisez un rôle RAM.

   1. Créez un rôle RAM pour un compte Alibaba Cloud de confiance. Pour plus d'informations, consultez la page Créer un rôle RAM pour un compte Alibaba Cloud de confiance.

      Tenez compte des paramètres suivants :

      • Type de principal : Compte Alibaba Cloud

      • Nom du principal : Autre compte Alibaba Cloud. Saisissez l'ID du Compte A, qui possède la ressource ECI.

      • Nom du rôle : role-acr (exemple)

   2. Accordez au rôle role-acr les autorisations nécessaires pour extraire des images ACR. Pour plus d'informations, consultez la page Accorder des autorisations à un rôle RAM.

      Attachez la stratégie système AliyunContainerRegistryFullAccess.

   3. Modifiez la stratégie de confiance pour permettre au rôle role-assume d'endosser le rôle role-acr. Pour plus d'informations, consultez la page Modifier la stratégie de confiance d'un rôle RAM.

      Par défaut, le rôle role-acr peut être endossé par tout utilisateur RAM ou rôle RAM autorisé du Compte A. Nous vous recommandons de modifier la stratégie de confiance pour une autorisation précise.

      Dans la section Principal, remplacez la valeur du champ RAM par l'ARN du rôle role-assume. Cela garantit que seul le rôle role-assume peut endosser le rôle role-acr. Exemple :

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. Vérifiez les autorisations et la stratégie de confiance, et récupérez l'ARN.

      • Autorisations et ARN

        L'ARN du rôle role-acr est acs:ram::<AccountID>:role/role-acr. Vous pouvez cliquer sur le bouton de copie pour récupérer la valeur. Dans l'onglet Permissions, vérifiez que la stratégie système AliyunContainerRegistryFullAccess est attachée et que la portée des ressources est au niveau du compte.

      • Stratégie de confiance

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::10051309xxxx:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

Étape 2 : Spécifier les rôles RAM

Lors de l'appel de l'opération CreateContainerGroup ou CreateImageCache, vous pouvez définir les paramètres AcrRegistryInfo pour spécifier une instance ACR appartenant à un autre compte Alibaba Cloud. Tenez compte des points suivants :

• Si l'instance ACR appartient à un autre compte Alibaba Cloud, vous devez définir les paramètres ArnService et ArnUser pour spécifier les rôles RAM nécessaires à la configuration des autorisations.

• Si l'instance ACR Édition Entreprise utilise un nom de domaine personnalisé, vous devez également définir le paramètre InstanceId.

Pour plus d'informations, consultez les pages CreateContainerGroup et CreateImageCache.

L'exemple suivant montre comment transmettre les paramètres via l'OpenAPI pour créer une instance ECI :

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.1.ArnUser=acs:ram::1298452580******:role/role-acr