Déployer une application à l'aide d'une image ACR inter-comptes - Serverless App Engine

Si votre application Serverless App Engine (SAE) et votre instance Container Registry (ACR) se trouvent dans des comptes Alibaba Cloud différents, assurez-vous d'abord de la connectivité réseau. Configurez ensuite les autorisations nécessaires pour accéder à l'instance ACR. Enfin, indiquez l'adresse du dépôt d'images pour déployer l'application.

Prérequis

Assurer la connectivité réseau entre SAE et ACR

Établissez une connectivité inter-VPC ou activez une passerelle NAT publique pour le Virtual Private Cloud (VPC) de votre application. Pour les instances ACR Enterprise Edition, ajoutez également le bloc CIDR du VPC de l'application SAE ou l'Elastic IP Address (EIP) associée à la NAT gateway à la liste d'autorisation de l'instance ACR.

Comment afficher le VPC d'une application SAE

Avant de déployer une application, planifiez sa région et son namespace. Cela détermine le VPC dans lequel l'application sera située.

Connectez-vous à la console SAE, sélectionnez une région dans la barre de navigation supérieure, puis choisissez Namespaces dans le volet de navigation de gauche.
Cliquez sur le namespace cible dans la liste. Dans le volet de navigation de gauche, sélectionnez Basic Information. Cliquez sur le lien dans le champ VPC pour afficher les détails, tels que l'ID du VPC.

Configurer l'autorisation d'accès à ACR

Utilisez soit un nom d'utilisateur et un mot de passe statiques, soit un rôle RAM.

Nom d'utilisateur et mot de passe statiques

Créez un Secret pour stocker le nom d'utilisateur et le mot de passe du dépôt d'images. Sur la page Namespace, sélectionnez une région, cliquez sur le namespace cible, choisissez Secret dans le volet de navigation de gauche, puis cliquez sur Create.

Définissez le paramètre Type sur Private Image Repository Logon Key.
Dans le champ Image Repository Address, saisissez le domaine public de l'instance ACR. Par exemple, registry.cn-xx.aliyuncs.com pour Container Registry Personal Edition ou xx-registry.cn-xx.cr.aliyuncs.com pour ACR Enterprise Edition. Saisissez le Username et le Password pour vous connecter au dépôt d'images.

Comment trouver le nom d'utilisateur et le mot de passe pour se connecter au dépôt d'images

Pour Container Registry Personal Edition, connectez-vous au compte propriétaire de l'instance ACR. Sur la page ACR Personal Edition Instance - Access Credential, sélectionnez la région de l'instance pour afficher le Username et modifier le Password.

Cette page contient les sections Get Credential et Log On To Instance. Dans la section Get Credential, cliquez sur Set Fixed Password pour définir un identifiant d'accès permanent. Dans la section Log On To Instance, sélectionnez le domaine d'accès correspondant à votre environnement réseau (VPC, réseau public ou réseau classique). Exécutez ensuite la commande sudo docker login --username=<username> registry.cn-shenzhen.aliyuncs.com dans un terminal pour vous connecter à l'instance de registre.
Pour ACR Enterprise Edition, connectez-vous au compte propriétaire de l'instance ACR et consultez la rubrique Configure access credentials pour trouver le nom d'utilisateur et le mot de passe.

Dans le volet de navigation de gauche, choisissez Instance Management > Access Credential. Sous l'onglet Account Access Credential Management, obtenez les identifiants en définissant un mot de passe fixe ou en récupérant un mot de passe temporaire. Une fois les identifiants obtenus, utilisez la commande suivante pour vous connecter à l'instance : sudo docker login --username=<username> registry-vpc.cn-hangzhou.cr.aliyuncs.com. Vous trouverez la valeur pour --username sur cette page.

Rôle RAM

SAE peut extraire des images depuis une instance ACR située dans un autre compte en endossant un rôle RAM. Par exemple, une application du compte A peut endosser un rôle RAM du compte B pour extraire des images d'une instance ACR appartenant au compte B.

Créer un rôle RAM : Utilisez le compte B pour créer un rôle RAM destiné au compte A. Pour plus d'informations, consultez la rubrique Create a RAM role for a trusted Alibaba Cloud account.

Configurer une politique d'accès : Créez une politique personnalisée ou modifiez une politique personnalisée en incluant les instructions suivantes pour autoriser les opérations sur les images privées.

{
  "Version": "1",
  "Statement": [
      {
          "Effect": "Allow",
          "Action": [
              "cr:GetAuthorizationToken",
              "cr:ListInstanceEndpoint",
              "cr:PullRepository",
              "cr:GetRepository",
              "cr:ListRepositoryTag"
          ],
          "Resource": "*"
      }
  ]
}

Accorder des autorisations au rôle RAM : Attribuez la politique d'accès créée à l'étape 2 au rôle RAM créé à l'étape 1. Pour plus d'informations, consultez la rubrique Manage RAM role permissions.

Modifier l'entité de confiance du rôle RAM : Remplacez l'entité de confiance du rôle RAM créé à l'étape 1 par le compte de service SAE en modifiant la politique de confiance. Pour plus d'informations, consultez la rubrique Modify the trust policy of a RAM role.

Avant

Après

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "RAM": [
                    "acs:ram::123456789012****:root"
                ]
            }
        }
    ],
    "Version": "1"
}

Ce rôle RAM peut être endossé par tout utilisateur RAM ou rôle RAM autorisé sous le compte Alibaba Cloud (AccountID=123456789012****).

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "123456789012****@sae.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

Ce rôle RAM ne peut être endossé que par le compte de service SAE (123456789012**@sae.aliyuncs.com) pour le compte Alibaba Cloud (AccountID=123456789012**).

Remarque

Dans cet exemple, Service fait référence au service qui extrait l'image.

Copier l'ARN : Sur la page Basic Information du rôle RAM, copiez l'ARN. Vous aurez besoin de cette valeur pour le champ acrAssumeRoleArn lors du déploiement de l'application.

Procédure

Sur la page SAE Application List, sélectionnez la région et le namespace cibles dans la barre de navigation supérieure, puis cliquez sur Create Application.
Sélectionnez une édition d'application.

Important
Les éditions Lightweight Edition et Professional Edition sont actuellement en phase bêta sur invitation uniquement. Pour les utilisateurs ne participant pas au test bêta, les applications sont créées par défaut en tant qu'Standard Edition.
- Lightweight Edition : Fournit l'ensemble minimal de fonctionnalités requis pour exécuter une application. Elle ne prend pas en charge les fonctionnalités Application Monitoring et Microservices Governance.
- Standard Edition : Inclut la fonctionnalité Basic Application Monitoring. Les fonctionnalités Advanced Application Monitoring et Microservices Governance doivent être activées et achetées séparément.
- Professional Edition : Inclut les fonctionnalités Advanced Application Monitoring et Microservices Governance, qui n'ont pas besoin d'être activées ou achetées séparément.
Sur la page Create Application, spécifiez un Application Name et configurez les paramètres suivants.
1. Sélectionnez le type de namespace pour l'application. Un namespace équivaut à un namespace Kubernetes et permet d'isoler les ressources dans différents environnements. Vous ne pouvez pas modifier le namespace d'une application après sa création. Planifiez en conséquence.
  - System Created : Utilise le namespace, le vSwitch et le groupe de sécurité par défaut créés par le système dans la région actuelle.
  - Existing Namespace : Sélectionnez un namespace, un vSwitch et un groupe de sécurité que vous avez créés au préalable.
2. Définissez le paramètre Application Deployment Method sur Select Image Deployment, puis cliquez sur Specify Image à droite. Sous l'onglet Private Images of Other Alibaba Cloud Account, configurez les paramètres suivants.
  - Sélectionnez votre édition ACR, puis choisissez une méthode d'autorisation. Pour ACR Enterprise Edition, vous devez également saisir l'Enterprise Edition Instance ID.
    
    Static Username and Password : Sélectionnez le Secret for Username and Password of Image Repository que vous avez créé précédemment.
    
    RAM Role : Saisissez la valeur acrAssumeRoleArn que vous avez copiée précédemment.
  - Saisissez l'Complete Image Repository Address au format <image-repository-address>:<image-tag>. Par exemple : registry.cn-xx.aliyuncs.com/xx/xx:1.0 pour Container Registry Personal Edition, ou xx-registry.cn-xx.cr.aliyuncs.com/xx/xx:1.0 pour ACR Enterprise Edition.Remarque : Utilisez l'adresse du dépôt d'images public ou privé correspondant à votre configuration réseau.
  - Pour ACR Enterprise Edition, vous pouvez activer l'accélération d'image pour accélérer le démarrage de l'application.
3. Dans la section Capacity Settings, définissez les paramètres Resource Type, Single Instance Type et Instances.
(Facultatif) Cliquez sur Next: Advanced Settings pour configurer les fonctionnalités souhaitées.
- Commande de démarrage
  
  La commande de démarrage d'une application est déterminée par les paramètres CMD ou ENTRYPOINT définis dans l'image. Aucune configuration supplémentaire n'est requise dans SAE. Si vous avez des besoins spécifiques, vous pouvez définir une commande de démarrage pour remplacer celle définie dans l'image.
- Environnement d'exécution et gestion du cycle de vie
  Modifiez les variables ou les fichiers de configuration dans l'environnement d'exécution après le déploiement sans reconstruire l'image en définissant des variables d'environnement, en configurant des liaisons d'hôtes, en injectant des informations de configuration et en injectant des informations confidentielles.
  
  Configurez une vérification d'intégrité pour surveiller si les instances d'application fonctionnent normalement et sont prêtes à traiter le trafic. Les instances non saines sont redémarrées automatiquement et le trafic n'est acheminé vers une instance que lorsqu'elle est prête.
  
  Utilisez la gestion du cycle de vie de l'application pour personnaliser les commandes exécutées après le démarrage et avant l'arrêt d'une application, et ainsi mettre en œuvre un arrêt gracieux.
- Accès réseau et invocation de services
  Utilisez l'enregistrement et la découverte de services pour permettre l'invocation de services entre les applications. Remarque : L'utilisation du centre d'enregistrement et de découverte de services MSE entraîne des frais supplémentaires.
  
  Activez l'accès externe à une application en associant un NLB, en associant un CLB ou en configurant une route de passerelle. Remarque : Les NLB, CLB et routes de passerelle entraînent des frais supplémentaires.
  
  Autorisez une application à accéder à des ressources ou services externes en configurant une passerelle NAT ou en associant une EIP à une instance d'application. Remarque : La passerelle NAT et les EIP entraînent des frais supplémentaires.
- Persistance des données
  
  Stockez les données de l'application dans un service NAS, OSS ou une base de données pour éviter la perte de données lors de la modification ou de l'arrêt d'une application. Remarque : Les services NAS, OSS et les bases de données entraînent des frais supplémentaires.
- Journalisation et surveillance
  Après avoir déployé une application, vous pouvez afficher les journaux en temps réel et consulter l'utilisation des ressources et la charge sans configuration supplémentaire. Vous pouvez également exporter les journaux vers SLS ou Kafka pour une gestion et une analyse centralisées. Remarque : Les services SLS et Kafka entraînent des frais supplémentaires.
  
  ARMS vous aide à suivre l'état de santé des applications, à identifier rapidement les API défaillantes et lentes, à repérer les goulots d'étranglement de performance et à reproduire les paramètres d'appel, ce qui améliore l'efficacité du dépannage en production.
  
  Pour les applications Standard Edition, vous pouvez afficher les données de surveillance ARMS Basic Edition après le déploiement sans configuration supplémentaire. Vous pouvez également activer et acheter la surveillance ARMS Premium Edition.
  
  Pour les applications Professional Edition, après avoir activé Application Monitoring dans Advanced Settings et déployé l'application, vous pouvez afficher les données de surveillance ARMS Premium Edition. Aucun frais supplémentaire n'est requis.
- Autres fonctionnalités
  Microservices Governance fournit les fonctionnalités Graceful Start and Shutdown, protection du trafic, déploiement canari de bout en bout et Intra-zone Provider First pour les applications Java.
  
  Pour les applications Standard Edition, accédez à la page des détails de l'application après le déploiement pour activer et acheter la fonctionnalité MSE Microservices Governance.
  
  Pour les applications Professional Edition, après avoir activé Microservices Governance dans Advanced Settings, vous pouvez configurer Graceful Start and Shutdown. Pour plus de fonctionnalités, accédez à la page des détails de l'application après le déploiement. Aucun frais supplémentaire n'est requis.
  
  Vous pouvez activer la fonctionnalité CPU Burst pour éviter le gaspillage de ressources lorsque les besoins en CPU sont plus élevés au démarrage qu'en fonctionnement normal.
  
  Vous pouvez découpler et standardiser les fonctionnalités non métier du conteneur principal en ajoutant un conteneur sidecar.
Cliquez sur Create Application with One Click ou Create Application.
- La création de l'application prend environ 1 à 2 minutes. Vous pouvez afficher les historiques de modifications pour vérifier que le déploiement a réussi. Si le déploiement échoue, aucune instance d'application n'est créée. Vous pouvez résoudre le problème en vous basant sur le message d'erreur dans Change Details.
- Vous pouvez afficher l'application créée sur la page . Pour modifier la configuration de l'application après le déploiement, cliquez sur l'application cible pour accéder à sa page de détails. Ensuite, cliquez sur Deploy Application ou Modify Application Configurations en haut de la page. L'application redémarre automatiquement pour appliquer la nouvelle configuration. Effectuez cette opération pendant les heures creuses.
- Vous pouvez vous connecter à une instance d'application via Webshell et interagir avec l'instance à l'aide de commandes console.
- Après avoir créé une application, vous pouvez ajuster manuellement le nombre d'instances et la spécification des instances, ou ajuster automatiquement le nombre d'instances en configurant une politique de mise à l'échelle automatique. Vous pouvez également réduire les coûts en activant le mode inactif.