Container Service for Kubernetes:Tarik gambar dari instans Container Registry (ACR) Edisi Perusahaan dalam akun yang sama menggunakan komponen tanpa kata sandi

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

3. Pada halaman Add-ons, klik tab Security, temukan kartu aliyun-acr-credential-helper (Managed), lalu klik Install.

4. Pada halaman Install Component aliyun-acr-credential-helper, tinjau konfigurasi AcrInstanceInfo dan opsi lainnya. AcrInstanceInfo menentukan konfigurasi untuk setiap instans ACR yang terkait dengan komponen. Opsi lainnya adalah pengaturan komponen. Anda dapat mempertahankan pengaturan default jika sesuai dengan namespace dan service account Anda.

   Setelah komponen diinstal, Anda dapat membuka halaman Add-ons dan klik Configurations pada kartu aliyun-acr-credential-helper (Managed) untuk mengubah pengaturan komponen.

   

   Konfigurasi instans ACR yang terkait:

   AcrInstanceInfo		Description
   InstanceId		ID instans ACR. Anda dapat menemukan ID tersebut di Konsol Container Registry. Penting Biarkan bidang ini kosong untuk instans Edisi Personal. Bidang ini wajib diisi untuk instans Container Registry (ACR) Edisi Perusahaan.
   regionId		ID wilayah tempat instans ACR berada. Anda dapat menemukan ID tersebut di Konsol Container Registry. Penting Bidang ini wajib diisi untuk tarikan gambar lintas wilayah.
   domains		Nama domain yang digunakan komponen tanpa kata sandi untuk mengakses instans ACR. Secara default, komponen menggunakan semua nama domain (internet dan VPC) dari instans ACR yang ditentukan. Untuk menentukan beberapa nama domain, pisahkan dengan koma (,).
   Pengaturan untuk tarikan gambar lintas akun Pengaturan ini berlaku untuk tarikan gambar lintas akun. Jika Anda tidak memerlukan fitur ini, biarkan bidang-bidang ini kosong.	assumeRoleARN	Pengaturan ini tidak diperlukan untuk tarikan gambar dalam akun yang sama. Untuk informasi tentang tarikan gambar lintas akun, lihat Tarik gambar lintas akun.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Pengaturan komponen

   Parameter	Description
   Enable RRSA	Pilih kotak centang ini untuk mengaktifkan RRSA. Pengaturan ini tidak diperlukan untuk tarikan gambar dalam akun yang sama. Untuk informasi tentang tarikan gambar lintas akun, lihat Tarik gambar lintas akun.
   watchNamespace	Namespace tempat Anda ingin mengaktifkan tarikan gambar tanpa kata sandi. Nilai default adalah default. Untuk mengaktifkan tarikan gambar tanpa kata sandi di semua namespace, atur nilainya menjadi all. Untuk menentukan beberapa namespace, pisahkan dengan koma (,). Kami menyarankan agar Anda hanya menentukan namespace bisnis. Hindari menentukan all atau namespace yang berisi komponen sistem agar tidak mengganggu penarikan gambar komponen sistem.
   serviceAccount	Terapkan komponen tanpa kata sandi versi managed ke service account tertentu. Nilai default adalah Default. Jika parameter ini diatur ke Default, komponen diterapkan ke service account default di setiap namespace yang ditentukan. Jika Anda mengatur parameter ini ke tanda bintang (*), komponen diterapkan ke semua service account di namespace yang ditentukan. Untuk menentukan beberapa service account, pisahkan dengan koma (,).
   expiringThreshold	Ambang batas kedaluwarsa untuk kredensial dalam komponen. Nilai default adalah 15m.
   notifyEmail	Tidak perlu dikonfigurasi.

Langkah 2: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen tanpa kata sandi, Anda dapat menentukan service account terkait saat membuat workload untuk mengaktifkan tarikan gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan service account yang terkait dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

3. Pada halaman Add-ons, klik tab Security, temukan kartu aliyun-acr-credential-helper, lalu klik Install.

4. Pada halaman Parameters, pilih mode izin dari daftar drop-down tokenMode dan klik OK. Setelah komponen diinstal, Anda harus mengonfigurasinya sebelum dapat menarik gambar. Untuk informasi lebih lanjut, lihat Langkah 2: Ubah pengaturan komponen (tambahkan instans ACR).

   tokenMode	Description
   auto	(Direkomendasikan) Komponen memeriksa waktu pembuatan kluster dan secara otomatis memilih mode izin. Kluster yang dibuat sebelum 3 April 2023 menggunakan mode workerRole. Kluster yang dibuat pada atau setelah 3 April 2023 menggunakan mode managedRole. Penting Versi aliyun-acr-credential-helper yang dirilis setelah 3 April 2023 menyediakan item konfigurasi yang memungkinkan Anda menyesuaikan peran RAM tempat komponen bergantung. Untuk informasi lebih lanjut, lihat [Perubahan Produk] Pengumuman tentang perubahan izin yang diperlukan oleh komponen aliyun-acr-credential-helper.
   managedRole	Komponen menggunakan peran AliyunCSManagedAcrRole yang telah Anda otorisasi di bagian Prasyarat untuk memperoleh izin.
   workerRole	Komponen menggunakan worker RAM role kluster untuk memperoleh izin. Anda harus memberikan izin tertentu kepada worker RAM role tersebut. Izin untuk mode workerRole Jika Anda memilih workerRole sebagai mode izin komponen, worker RAM role kluster harus memiliki izin berikut. Untuk informasi tentang cara memberikan izin, lihat Kelola izin pada peran RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Penting Untuk menarik gambar lintas akun dengan mengasumsikan peran, pilih mode ini.

Langkah 2: Konfigurasikan pengaturan komponen

Setelah Anda menginstal komponen tanpa kata sandi, Anda harus mengonfigurasi ConfigMap acr-configuration untuk menambahkan instans ACR sebelum dapat menarik gambar. Anda dapat melakukannya melalui konsol atau kubectl.

Langkah 3: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen tanpa kata sandi, Anda dapat menentukan service account terkait saat membuat workload untuk mengaktifkan tarikan gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan service account yang terkait dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Mengapa penarikan gambar gagal?

Salah satu kemungkinan penyebabnya adalah konfigurasi komponen tanpa kata sandi salah. Misalnya:

• Informasi instans dalam komponen tanpa kata sandi tidak sesuai dengan instans ACR.

• Alamat gambar yang digunakan untuk penarikan tidak sesuai dengan nama domain dalam informasi instans komponen tanpa kata sandi.

Ikuti langkah-langkah dalam topik ini untuk memecahkan masalah tersebut.

Jika penarikan gambar gagal meskipun komponen telah dikonfigurasi dengan benar, kegagalan tersebut mungkin disebabkan oleh konflik antara bidang imagePullSecrets yang dimasukkan secara manual dalam YAML workload dan komponen tanpa kata sandi. Untuk mengatasi masalah ini, hapus secara manual bidang imagePullSecrets, lalu hapus Pod lama untuk membuat ulang.

Bagaimana cara menggunakan imagePullSecrets?

Instans Container Registry (ACR) Edisi Personal yang dibuat pada atau setelah 9 September 2024 tidak mendukung komponen tanpa kata sandi. Untuk instans tersebut, kami menyarankan agar Anda menyimpan username dan password login Anda dalam Secret untuk digunakan di bidang imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Gunakan Secret yang dibuat pada langkah sebelumnya.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Ganti dengan tautan ACR.