Container Registry:Gunakan komponen tanpa kata sandi untuk menarik gambar dari instans Container Registry (ACR) Edisi Perusahaan dalam akun yang sama

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Di halaman Clusters, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

3. Di halaman Add-ons, klik tab Security, temukan kartu aliyun-acr-credential-helper (managed), lalu klik Install.

4. Di halaman Install component aliyun-acr-credential-helper, tinjau pengaturan AcrInstanceInfo dan opsi lainnya. AcrInstanceInfo berisi pengaturan untuk setiap instans ACR yang dikaitkan dengan komponen. Opsi lainnya adalah pengaturan komponen. Jika Anda tidak perlu mengubah namespace atau ServiceAccount yang dipantau komponen, Anda dapat mempertahankan pengaturan default.

   Setelah komponen diinstal, Anda dapat mengubah pengaturannya dengan mengklik Configurations pada kartu aliyun-acr-credential-helper (managed) di halaman Add-ons.

   Pengaturan asosiasi instans ACR:

   AcrInstanceInfo		Deskripsi
   InstanceId		ID instans ACR. Anda dapat memperoleh ID tersebut dari Konsol Container Registry. Penting Biarkan bidang ini kosong untuk instans ACR Edisi Personal. Bidang ini wajib diisi untuk instans ACR Edisi Perusahaan.
   regionId		ID wilayah tempat instans ACR dideploy. Anda dapat memperoleh ID tersebut dari Konsol Container Registry. Penting Parameter ini wajib diisi untuk penarikan gambar cross-region.
   domains		Nama domain yang digunakan oleh komponen tanpa kata sandi untuk mengakses instans ACR. Secara default, ini mencakup semua nama domain (internet dan VPC) dari instans ACR yang ditentukan. Untuk menentukan beberapa nama domain, pisahkan dengan koma (,).
   Pengaturan untuk penarikan gambar cross-account Pengaturan ini berlaku untuk penarikan gambar cross-account. Jika Anda tidak memerlukan fitur ini, biarkan bidang kosong.	assumeRoleARN	Tidak diperlukan konfigurasi untuk penarikan dalam akun yang sama. Untuk penarikan cross-account, lihat Tarik gambar lintas akun.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Pengaturan komponen

   Parameter	Deskripsi
   Enable RRSA	Pilih kotak centang ini untuk mengaktifkan RRSA. Tidak diperlukan konfigurasi untuk penarikan dalam akun yang sama. Untuk penarikan cross-account, lihat Tarik gambar lintas akun.
   watchNamespace	Namespace tempat Anda ingin mengaktifkan penarikan gambar tanpa kata sandi. Nilai default adalah default. Atur nilainya menjadi all untuk mengaktifkan fitur ini untuk semua namespace. Untuk menentukan beberapa namespace, pisahkan dengan koma (,). Kami menyarankan agar Anda hanya menentukan namespace bisnis Anda dan menghindari penggunaan all atau namespace untuk komponen sistem kluster guna mencegah gangguan pada penarikan gambar sistem.
   serviceAccount	Menentukan ServiceAccount tempat komponen tanpa kata sandi versi managed diterapkan. Nilai default adalah Default. Nilai Default menerapkan komponen ke ServiceAccount default di namespace yang ditentukan. Jika Anda mengatur nilainya menjadi *, komponen akan diterapkan ke semua ServiceAccount di namespace yang ditentukan. Untuk menentukan beberapa ServiceAccount, pisahkan dengan koma (,).
   expiringThreshold	Ambang batas kedaluwarsa untuk kredensial dalam komponen. Nilai default adalah 15m.
   notifyEmail	Tidak diperlukan konfigurasi.

Langkah 2: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen tanpa kata sandi, tentukan ServiceAccount yang dikaitkan dengan komponen saat membuat workload. Hal ini memungkinkan penarikan gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan ServiceAccount yang dikaitkan dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Di halaman Clusters, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

3. Di halaman Add-ons, klik tab Security, temukan kartu aliyun-acr-credential-helper, lalu klik Install.

4. Di halaman Parameters, pilih mode izin dari daftar drop-down tokenMode dan klik OK. Setelah komponen diinstal, Anda perlu mengonfigurasinya sebelum dapat menarik gambar. Untuk informasi lebih lanjut, lihat Langkah 2: Perbarui konfigurasi komponen (tambahkan instans ACR).

   tokenMode	Deskripsi
   auto	(Direkomendasikan) Komponen mendeteksi waktu pembuatan kluster dan secara otomatis memilih mode izin. Kluster yang dibuat sebelum 3 April 2023 menggunakan mode workerRole. Kluster yang dibuat pada atau setelah 3 April 2023 menggunakan mode managedRole. Penting Versi aliyun-acr-credential-helper yang dirilis pada atau setelah 3 April 2023 menyediakan parameter yang memungkinkan Anda menyesuaikan role RAM yang digunakan komponen. Untuk informasi lebih lanjut, lihat [Perubahan Produk] Pengumuman tentang perubahan izin yang diperlukan oleh komponen aliyun-acr-credential-helper.
   managedRole	Komponen menggunakan role AliyunCSManagedAcrRole yang diotorisasi dalam Prasyarat untuk memperoleh izin.
   workerRole	Komponen menggunakan role RAM worker kluster untuk memperoleh izin. Anda perlu memberikan izin tertentu kepada role RAM worker tersebut. Pilih workerRole sebagai mode komponen Jika Anda memilih workerRole sebagai mode izin komponen, role RAM worker kluster harus memiliki izin berikut. Untuk informasi tentang cara memberikan izin, lihat Kelola izin role RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Penting Pilih mode ini jika Anda perlu menarik gambar lintas akun dengan mengasumsikan role.

Langkah 2: Perbarui konfigurasi komponen

Setelah komponen tanpa kata sandi diinstal, Anda perlu mengonfigurasi ConfigMap acr-configuration untuk menambahkan instans ACR sebelum dapat menarik gambar. Anda dapat melakukannya melalui konsol atau kubectl.

Langkah 3: Tarik gambar

Setelah Anda menginstal dan mengonfigurasi komponen tanpa kata sandi, tentukan ServiceAccount yang dikaitkan dengan komponen saat membuat workload. Hal ini memungkinkan penarikan gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan ServiceAccount yang dikaitkan dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Pemecahan masalah kegagalan penarikan gambar

Salah satu kemungkinan penyebabnya adalah konfigurasi komponen tanpa kata sandi yang salah, misalnya:

• Informasi instans yang dikonfigurasi dalam komponen tidak sesuai dengan instans ACR.

• Alamat gambar yang digunakan untuk menarik tidak sesuai dengan nama domain yang ditentukan dalam informasi instans komponen.

Ikuti langkah-langkah dalam topik ini untuk memecahkan masalah tersebut.

Jika komponen telah dikonfigurasi dengan benar tetapi penarikan gambar tetap gagal, hal ini mungkin disebabkan oleh konflik antara bidang imagePullSecrets yang ditentukan secara manual dalam YAML workload dan komponen tanpa kata sandi. Untuk mengatasinya, hapus secara manual bidang imagePullSecrets dan buat ulang Pod.

Bagaimana cara menggunakan imagePullSecrets?

Instans ACR Edisi Personal yang dibuat pada atau setelah 9 September 2024 tidak mendukung komponen tanpa kata sandi. Untuk instans tersebut, kami menyarankan agar Anda menyimpan username dan password dalam Secret dan mereferensikannya di bidang imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Gunakan Secret yang dibuat pada langkah sebelumnya.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Ganti dengan alamat gambar ACR.