Container Registry：Gunakan komponen tanpa kata sandi untuk menarik gambar dari instans Container Registry (ACR) Edisi Perusahaan dalam akun yang sama

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, temukan kluster yang diinginkan lalu klik namanya. Di panel navigasi kiri, klik Add-ons.

3. Pada halaman Add-ons, pilih tab Security. Temukan kartu aliyun-acr-credential-helper (Managed) lalu klik Install.

4. Pada halaman Install aliyun-acr-credential-helper, Anda dapat melihat konfigurasi AcrInstanceInfo dan opsi lainnya. AcrInstanceInfo berisi konfigurasi untuk setiap instans ACR yang dikaitkan dengan komponen. Opsi lainnya merupakan pengaturan umum komponen. Jika Anda tidak perlu mengubah namespace atau akun layanan yang dipantau komponen, pertahankan pengaturan default.

   Setelah instalasi, Anda dapat memperbarui konfigurasi komponen. Pada halaman Add-ons, klik Configuration pada kartu aliyun-acr-credential-helper (Managed).

   

   Konfigurasi instans ACR terkait:

   AcrInstanceInfo		Deskripsi
   InstanceId		ID instans ACR. Anda dapat memperoleh ID tersebut di Konsol Container Registry. Penting Biarkan parameter ini kosong untuk instans ACR Edisi Personal. Parameter ini wajib diisi untuk instans ACR Edisi Perusahaan.
   regionId		ID wilayah instans ACR. Anda dapat memperoleh ID wilayah tersebut di Konsol Container Registry. Penting Parameter ini wajib diisi saat Anda menarik gambar lintas wilayah.
   domains		Nama domain yang digunakan plug-in tanpa kata sandi untuk mengakses instans ACR. Secara default, semua nama domain (publik dan VPC) dari instans ACR yang ditentukan akan digunakan. Untuk menentukan nama domain tertentu, pisahkan dengan koma (,).
   Konfigurasi untuk menarik gambar lintas akun Berlaku untuk skenario penarikan gambar lintas akun. Jika Anda tidak memiliki kebutuhan ini, biarkan bidang kosong.	assumeRoleARN	Tidak diperlukan untuk menarik gambar dalam akun yang sama. Untuk menarik gambar lintas akun, lihat Tarik gambar lintas akun.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Konfigurasi komponen

   Item konfigurasi	Deskripsi
   Enable RRSA	Pilih opsi ini untuk mengaktifkan RRSA. Ini tidak diperlukan untuk menarik gambar dalam akun yang sama. Untuk menarik gambar lintas akun, lihat Tarik gambar lintas akun.
   watchNamespace	Namespace tempat Anda ingin menarik gambar tanpa kata sandi. Nilai default adalah default. Nilai all berarti semua namespace. Untuk menentukan beberapa namespace, pisahkan dengan koma (,). Kami menyarankan Anda mengonfigurasi namespace bisnis Anda. Hindari mengonfigurasi all atau namespace yang terkait dengan komponen sistem untuk mencegah masalah saat menarik gambar komponen sistem.
   serviceAccount	Akun layanan yang diterapkan oleh komponen tanpa kata sandi versi managed. Nilai default adalah Default. Nilai Default berlaku untuk akun layanan default di semua namespace yang ditentukan. Tanda bintang (*) berlaku untuk semua akun layanan di namespace yang ditentukan. Untuk mengonfigurasi beberapa akun layanan, pisahkan dengan koma (,).
   expiringThreshold	Ambang batas kedaluwarsa kredensial komponen. Nilai default adalah 15m.
   notifyEmail	Tidak perlu dikonfigurasi.

Langkah 2: Tarik gambar

Setelah menginstal dan mengonfigurasi komponen tanpa kata sandi, tentukan akun layanan yang dikaitkan dengan komponen tersebut saat membuat beban kerja untuk menarik gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan akun layanan yang dikaitkan dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Langkah 1: Instal komponen

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, temukan kluster yang diinginkan lalu klik namanya. Di panel navigasi kiri, klik Add-ons.

3. Pada halaman Add-ons, klik tab Security. Temukan aliyun-acr-credential-helper lalu klik Install.

4. Pada halaman Parameter Settings, pilih mode izin untuk komponen dari daftar drop-down tokenMode, lalu klik OK. Setelah instalasi, konfigurasikan komponen sebelum menarik gambar. Untuk informasi lebih lanjut, lihat Langkah 2: Ubah konfigurasi komponen (tambahkan instans ACR).

   tokenMode	Deskripsi
   auto	(Direkomendasikan) Komponen mendeteksi waktu pembuatan kluster dan secara otomatis menentukan mode izin. Untuk kluster yang dibuat sebelum 3 April 2023, digunakan mode workerRole. Untuk kluster yang dibuat pada atau setelah 3 April 2023, digunakan mode managedRole. Penting Versi aliyun-acr-credential-helper yang dirilis setelah 3 April 2023 menyediakan item konfigurasi untuk menyesuaikan peran RAM yang digunakan komponen. Untuk informasi lebih lanjut, lihat [Perubahan Produk] Pengumuman tentang perubahan izin yang digunakan aliyun-acr-credential-helper.
   managedRole	Komponen menggunakan peran AliyunCSManagedAcrRole, yang diberikan izin di bagian Prasyarat, untuk memperoleh izin.
   workerRole	Komponen menggunakan peran RAM worker kluster untuk memperoleh izin. Anda harus memberikan izin tertentu kepada peran RAM worker tersebut. Pilih workerRole sebagai mode komponen Saat Anda memilih workerRole sebagai mode izin, peran RAM worker kluster harus memiliki izin berikut. Untuk informasi lebih lanjut tentang cara memberikan izin, lihat Kelola izin untuk peran RAM. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Penting Pilih mode ini untuk menarik gambar lintas akun menggunakan asumsi peran.

Langkah 2: Ubah konfigurasi komponen (tambahkan instans ACR)

Setelah menginstal komponen tanpa kata sandi, Anda harus mengonfigurasi ConfigMap acr-configuration untuk menambahkan instans ACR sebelum menarik gambar. Anda dapat melakukannya melalui konsol atau menggunakan kubectl.

Langkah 3: Tarik gambar

Setelah menginstal dan mengonfigurasi komponen tanpa kata sandi, tentukan akun layanan yang dikaitkan dengan komponen tersebut saat membuat beban kerja untuk menarik gambar tanpa kata sandi.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Tentukan akun layanan yang dikaitkan dengan komponen tanpa kata sandi.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Tentukan alamat gambar ACR.
        ports:
        - containerPort: 80

Mengapa penarikan gambar masih gagal setelah komponen tanpa kata sandi dikonfigurasi?

Kemungkinan penyebabnya adalah konfigurasi komponen tanpa kata sandi yang salah, seperti:

• Informasi instans dalam komponen tanpa kata sandi tidak sesuai dengan instans ACR.

• Alamat gambar yang digunakan untuk menarik tidak sesuai dengan nama domain dalam informasi instans komponen.

Ikuti langkah-langkah dalam topik ini untuk memecahkan masalah tersebut.

Jika komponen telah dikonfigurasi dengan benar tetapi penarikan tetap gagal, masalahnya mungkin berasal dari konflik antara bidang imagePullSecrets yang ditentukan secara manual dalam YAML beban kerja dan komponen tanpa kata sandi. Untuk mengatasinya, hapus bidang imagePullSecrets secara manual, lalu hapus dan buat ulang pod tersebut.

Bagaimana cara menggunakan imagePullSecrets?

Instans ACR Edisi Personal yang dibuat pada atau setelah 9 September 2024 tidak mendukung komponen tanpa kata sandi. Untuk instans ACR Edisi Personal baru, kami menyarankan menyimpan nama pengguna dan kata sandi logon dalam Secret dan mereferensikannya di bidang imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Gunakan Secret yang dibuat pada langkah sebelumnya.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Ganti dengan tautan ACR.