Container Registry：Tarik gambar dari instans Container Registry Edisi Perusahaan (ACR) dalam akun yang sama menggunakan komponen bebas rahasia

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi sebelah kiri, klik Clusters.

2. Di halaman Clusters, temukan kluster yang Anda inginkan dan klik namanya. Di panel sebelah kiri, pilih Operations > Add-ons.

3. Di halaman Add-ons, pilih tab Security. Temukan kartu Aliyun-acr-credential-helper (Managed) dan klik Install.

4. Di halaman Install Aliyun-acr-credential-helper, Anda dapat melihat konfigurasi AcrInstanceInfo dan opsi lainnya. AcrInstanceInfo berisi konfigurasi untuk setiap instans ACR yang terkait dengan komponen. Opsi lainnya adalah konfigurasi komponen. Jika Anda tidak perlu mengubah namespace atau akun layanan yang dipantau komponen, Anda dapat mempertahankan pengaturan default.

   Setelah komponen diinstal, Anda dapat mengubah konfigurasinya. Di halaman Add-ons, klik Configuration pada kartu Aliyun-acr-credential-helper (Managed).

   

   Konfigurasi instans ACR terkait:

   AcrInstanceInfo		Deskripsi
   InstanceId		ID instans ACR. Anda dapat memperoleh ID tersebut di Konsol Container Registry. Penting Biarkan parameter ini kosong untuk instans ACR Edisi Personal. Parameter ini wajib diisi untuk instans ACR Edisi Perusahaan.
   regionId		ID wilayah instans ACR. Anda dapat memperoleh ID wilayah tersebut di Konsol Container Registry. Penting Parameter ini wajib diisi saat menarik gambar lintas wilayah.
   domains		Nama domain yang digunakan plugin bebas rahasia untuk mengakses instans ACR. Secara default, semua nama domain (publik dan VPC) dari instans ACR yang ditentukan digunakan. Untuk menentukan nama domain tertentu, pisahkan dengan koma (,).
   Konfigurasi untuk menarik gambar lintas akun Ini berlaku untuk skenario menarik gambar lintas akun. Jika Anda tidak memiliki persyaratan ini, biarkan kolom kosong.	assumeRoleARN	Tidak diperlukan untuk menarik gambar dalam akun yang sama. Untuk menarik gambar lintas akun, lihat Tarik gambar lintas akun.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Konfigurasi komponen

   Item konfigurasi	Deskripsi
   Enable RRSA	Pilih ini untuk mengaktifkan RRSA. Ini tidak diperlukan untuk menarik gambar dalam akun yang sama. Untuk menarik gambar lintas akun, lihat Tarik gambar lintas akun.
   watchNamespace	Namespace tempat Anda ingin menarik gambar tanpa rahasia. Nilai default adalah default. Nilai all berarti semua namespace. Untuk menentukan beberapa namespace, pisahkan dengan koma (,). Kami menyarankan agar Anda mengonfigurasi namespace bisnis Anda. Hindari mengonfigurasi all atau namespace yang terkait dengan komponen sistem untuk mencegah masalah saat menarik gambar komponen sistem.
   serviceAccount	Akun layanan yang diterapkan oleh komponen bebas rahasia terkelola. Nilai default adalah Default. Nilai Default berlaku untuk akun layanan default di semua namespace yang ditentukan. Tanda bintang (*) berlaku untuk semua akun layanan di namespace yang ditentukan. Untuk mengonfigurasi beberapa akun layanan, pisahkan dengan koma (,).
   expiringThreshold	Ambang batas kedaluwarsa untuk kredensial komponen. Nilai default adalah 15m. Kami menyarankan menggunakan 15 menit. Komponen secara otomatis memperpanjang kredensial 15 menit sebelum kedaluwarsa.
   notifyEmail	Tidak perlu dikonfigurasi.

Langkah 2: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen bebas rahasia, tentukan akun layanan yang terkait dengan komponen saat membuat beban kerja agar dapat menarik gambar tanpa rahasia.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan akun layanan yang terkait dengan komponen bebas rahasia.
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi sebelah kiri, klik Clusters.

2. Di halaman Clusters, temukan kluster yang Anda inginkan dan klik namanya. Di panel sebelah kiri, pilih Operations > Add-ons.

3. Di halaman Add-ons, klik tab Security. Temukan aliyun-acr-credential-helper dan klik Install.

4. Di halaman Parameters, pilih mode izin untuk komponen dari daftar drop-down tokenMode, lalu klik OK. Setelah komponen diinstal, konfigurasikan sebelum menarik gambar. Untuk informasi selengkapnya, lihat Langkah 2: Ubah konfigurasi komponen (tambahkan instans ACR).

   tokenMode	Deskripsi
   auto	(Direkomendasikan) Komponen mendeteksi waktu pembuatan kluster dan secara otomatis menentukan mode izin. Untuk kluster yang dibuat sebelum 3 April 2023, digunakan mode workerRole. Untuk kluster yang dibuat pada atau setelah 3 April 2023, digunakan mode managedRole. Penting Versi aliyun-acr-credential-helper yang dirilis setelah 3 April 2023 menyediakan item konfigurasi untuk menyesuaikan peran RAM yang digunakan komponen. Untuk informasi selengkapnya, lihat [Perubahan Produk] Pengumuman tentang perubahan izin yang digunakan aliyun-acr-credential-helper.
   managedRole	Komponen menggunakan peran AliyunCSManagedAcrRole, yang diberikan izin di bagian Prasyarat, untuk memperoleh izin.
   workerRole	Komponen menggunakan peran RAM worker kluster untuk memperoleh izin. Anda harus memberikan izin tertentu kepada peran RAM worker. Pilih workerRole sebagai mode komponen Saat Anda memilih workerRole sebagai mode izin, peran RAM worker kluster harus memiliki izin berikut. Untuk informasi selengkapnya tentang cara memberikan izin, lihat Berikan izin kepada peran RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Penting Pilih mode ini untuk menarik gambar lintas akun menggunakan asumsi peran.

Langkah 2: Ubah konfigurasi komponen (tambahkan instans ACR)

Setelah komponen bebas rahasia diinstal, Anda harus mengonfigurasi ConfigMap acr-configuration untuk menambahkan instans ACR sebelum dapat menarik gambar. Anda dapat melakukannya di konsol atau menggunakan kubectl.

Langkah 3: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen bebas rahasia, tentukan akun layanan yang terkait dengan komponen saat membuat beban kerja agar dapat menarik gambar tanpa rahasia.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan akun layanan yang terkait dengan komponen bebas rahasia.
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Penarikan gambar tetap gagal setelah komponen bebas rahasia dikonfigurasi

Penarikan gambar mungkin gagal karena konfigurasi komponen bebas rahasia yang salah. Misalnya:

• Informasi instans dalam komponen bebas rahasia tidak cocok dengan instans ACR.

• Alamat gambar yang digunakan untuk menarik gambar tidak cocok dengan nama domain dalam informasi instans komponen.

Ikuti langkah-langkah dalam topik ini untuk memecahkan masalah.

Jika komponen dikonfigurasi dengan benar tetapi penarikan tetap gagal, kegagalan tersebut mungkin disebabkan oleh konflik antara bidang imagePullSecrets yang dimasukkan secara manual dalam YAML beban kerja dan komponen bebas rahasia. Untuk mengatasi masalah ini, hapus secara manual bidang imagePullSecrets, lalu hapus dan buat ulang pod.

Cara menggunakan imagePullSecrets

Instans Container Registry Edisi Personal yang dibuat pada atau setelah 9 September 2024 tidak mendukung komponen bebas rahasia. Untuk instans Container Registry Edisi Personal baru, kami menyarankan agar Anda menyimpan nama pengguna dan kata sandi logon dalam Secret dan menggunakannya dalam bidang imagePullSecrets.

kubectl create secret generic image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Gunakan Secret yang dibuat pada langkah sebelumnya
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Ganti dengan tautan ACR