Container Registry：Menarik gambar lintas akun

Gunakan RRSA

Dalam kluster ACK milik Akun A, konfigurasikan ServiceAccount tertentu untuk mengasumsikan Peran RAM milik Akun B yang memiliki izin untuk menarik gambar tanpa kredensial. Hal ini memungkinkan kluster ACK mengakses dan menarik gambar pribadi dari Akun B.

1. Di Akun A, aktifkan fitur RRSA untuk kluster ACK dan buat Peran RAM yang memiliki izin untuk mengasumsikan peran.

   1. Aktifkan fitur RRSA untuk kluster ACK.

      1. Masuk ke ACK console. Di panel navigasi kiri, klik Clusters.

      2. Pada halaman Clusters, temukan kluster target dan klik namanya. Di panel navigasi kiri, klik Cluster Information.

      3. Di bagian Security and Auditing pada tab Basic Information, klik Enable di sebelah RRSA OIDC.

      4. Di kotak dialog Enable RRSA, klik Confirm.

         Di bagian Basic Information, jika status kluster berubah dari Updating menjadi Running, berarti fitur RRSA telah diaktifkan untuk kluster tersebut.

      5. Setelah fitur RRSA diaktifkan untuk kluster, navigasikan ke bagian Security and Auditing di bawah tab Basic Information. Jika Anda mengarahkan kursor mouse ke label Enabled di sebelah RRSA OIDC, URL dan Nama Sumber Daya Alibaba Cloud (ARN) penyedia OIDC akan ditampilkan.

   2. Gunakan editor skrip untuk mengedit kebijakan kepercayaan dan buat Peran RAM untuk Penyedia Identitas OIDC.

      • Ganti <oidc_issuer_url> dalam contoh dengan URL penyedia OIDC kluster saat ini yang Anda peroleh pada langkah sebelumnya.

      • Ganti <oidc_provider_arn> dalam contoh dengan ARN penyedia OIDC kluster saat ini yang Anda peroleh pada langkah sebelumnya.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. Sambungkan kebijakan AliyunSTSAssumeRoleAccess ke peran tersebut untuk memberikan izin mengasumsikan peran, lalu catat ARN-nya. Untuk informasi selengkapnya, lihat Mengelola izin untuk Peran RAM.

      1. Di halaman detail peran, klik tab Permissions, lalu klik Grant Permission.

      2. Di panel Grant Permission, pada bagian Access Policy, pilih kebijakan akses AliyunSTSAssumeRoleAccess, lalu klik OK.

      3. Di halaman detail peran, pada bagian Basic Information, lihat dan catat ARN Peran RAM tersebut. Untuk informasi selengkapnya, lihat Bagaimana cara melihat ARN Peran RAM?

2. Di Akun B, buat Peran RAM, berikan izin untuk menarik gambar pribadi, dan izinkan Peran RAM milik Akun A untuk mengasumsikan peran ini.

   1. Gunakan editor skrip untuk mengedit kebijakan kepercayaan dan buat Peran RAM untuk akun Alibaba Cloud tepercaya agar Akun A dapat mengasumsikan peran tersebut.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created in Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. Buat kebijakan kustom dengan konten berikut dan berikan kebijakan tersebut ke Peran RAM. Hal ini memberikan izin kepada peran untuk memperoleh informasi instans dan menarik gambar.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Atur durasi sesi maksimum untuk Peran RAM ke nilai antara 3.600 detik hingga 43.200 detik. Nilai default-nya adalah 3.600 detik.

      Pastikan nilai ini sama dengan nilai parameter expireDuration yang akan Anda konfigurasi nanti. Nilai expireDuration tidak boleh melebihi durasi sesi maksimum.

   4. Di halaman detail peran, catat ARN Peran RAM dari bagian Basic Information.

3. Di Akun A, instal komponen tanpa kata sandi untuk kluster ACK dan modifikasi item konfigurasinya.

   Untuk informasi selengkapnya tentang perbedaan antar komponen, lihat Perbandingan komponen tanpa kata sandi.

   komponen aliyun-acr-credential-helper managed

   1. Masuk ke ACK console atau . Di panel navigasi sebelah kiri, klik Clusters.

   2. Pada halaman Clusters, temukan kluster yang diinginkan dan klik namanya. Di panel navigasi kiri, klik Add-ons.

   3. Di halaman Add-ons, pilih tab Security. Temukan kartu aliyun-acr-credential-helper (Managed) dan klik Install.

   4. Di kotak dialog Aliyun-acr-credential-helper Parameter Settings, centang kotak Is RRSA Enabled dan klik Add. Masukkan parameter berikut dan klik OK.

      

      Konfigurasi instans ACR Edisi Perusahaan terkait:

      Parameter	Deskripsi	Contoh
      instanceId	ID instans ACR. Untuk menentukan beberapa ID, pisahkan dengan koma (,).	cri-XXXXX
      regionId	ID wilayah instans ACR.	cn-hangzhou
      domains	Nama domain yang digunakan oleh instans ACR. Masukkan semua titik akhir (publik dan VPC) instans ACR. Untuk menentukan nama domain individual, pisahkan dengan koma (,).	XXXXX-registry.cn-hangzhou.cr.aliyuncs.com
      assumeRoleARN	ARN Peran RAM pemilik instans ACR. Masukkan ARN Peran RAM yang Anda buat di Akun B.	acs:ram::100XXXXXXXX9630:role/XXXX
      expireDuration	Periode validitas kredensial sementara dalam skenario lintas akun. Masukkan durasi sesi maksimum Peran RAM yang Anda buat di Akun B.	3600
      rrsaRoleARN	ARN Peran RAM pemilik kluster ACK. Masukkan ARN Peran RAM yang Anda buat di Akun A.	acs:ram::128XXXXXXXXXX09011:role/XXXX
      rrsaOIDCProviderRoleARN	ARN Penyedia Identitas OIDC kluster ACK. Masukkan ARN Penyedia Identitas OIDC RRSA kluster ACK di Akun A.	acs:ram::128XXXXXXXXXX09011:oidc-provider/ack-rrsa-c8864XXXXXXXXXXXXXXXXXX99356a636

      Untuk informasi selengkapnya tentang parameter lainnya, lihat Konfigurasi komponen.

   komponen aliyun-acr-credential-helper

   1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

   2. Pada halaman Clusters, temukan kluster yang diinginkan dan klik namanya. Di panel navigasi kiri, klik Add-ons.

   3. Di halaman Applications, klik tab Security. Temukan komponen aliyun-acr-credential-helper dan klik Install. Di kotak dialog yang muncul, atur opsi tokenMode ke auto dan klik OK.

      

   4. Modifikasi ConfigMap komponen tanpa kata sandi.

      1. Di panel navigasi kiri, pilih Configuration > ConfigMaps.

      2. Di bagian atas halaman ConfigMaps, pilih kube-system dari daftar drop-down Namespace. Lalu, klik Edit YAML di kolom Actions untuk acr-configuration dan modifikasi konfigurasi seperti pada contoh berikut.

         data:
           service-account: "default"
           watch-namespace: "all"
           expiring-threshold: "15m"
           notify-email: "c*@example.com"
           acr-registry-info: |
             - instanceId: "cri-xxx"                                   # The ID of the ACR instance.
               regionId: "cn-hangzhou"                                 # The region ID of the ACR instance.
               domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"   # The endpoint of the ACR instance.
               rrsaRoleARN: "<ARN of the role created in Account A>"
               rrsaOIDCProviderRoleARN: "<The ARN of the OIDC IdP from the basic information page of the ACK cluster in the console for Account A.>"
               assumeRoleARN: "<ARN of the role created in Account B>"
               expireDuration: 3600                                    # The maximum session duration of the RAM role in Account B. The default value is 3600.             
           rrsa: |
             enable: true                                              # Enable the RRSA feature for the passwordless component. 

Gunakan asumsi Peran RAM Worker

Dalam kluster ACK milik Akun A, konfigurasikan Peran RAM Worker default kluster untuk mengasumsikan Peran RAM milik Akun B yang memiliki izin untuk menarik gambar tanpa kredensial. Hal ini memungkinkan kluster ACK mengakses dan menarik gambar pribadi dari Akun B.

1. Di Akun A, lihat Peran RAM Worker kluster dan berikan izin untuk mengasumsikan peran.

   1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

   2. Pada halaman Clusters, temukan kluster target dan klik namanya. Di panel navigasi kiri, klik Cluster Information.

   3. Di halaman Cluster Information, klik tab Basic Information. Di area Cluster Resources, klik tautan di sebelah kanan Worker RAM Role.

   4. Sambungkan kebijakan AliyunSTSAssumeRoleAccess ke peran tersebut untuk memberikan izin mengasumsikan peran, lalu catat ARN-nya. Untuk informasi selengkapnya, lihat Mengelola izin untuk Peran RAM.

      1. Di halaman detail peran, klik tab Permissions, lalu klik Grant Permission.

      2. Di panel Grant Permission, pada bagian Access Policy, pilih kebijakan akses AliyunSTSAssumeRoleAccess, lalu klik OK.

      3. Di halaman detail peran, pada bagian Basic Information, lihat dan catat ARN Peran RAM tersebut. Untuk informasi selengkapnya, lihat Bagaimana cara melihat ARN Peran RAM?

2. Di Akun B, buat Peran RAM, berikan izin untuk menarik gambar pribadi, dan izinkan Peran RAM Worker kluster ACK di Akun A untuk mengasumsikan peran ini.

   1. Buat Peran RAM untuk akun Alibaba Cloud tepercaya.

   2. Buat kebijakan kustom dengan konten berikut, dan berikan kebijakan tersebut ke Peran RAM. Hal ini memberikan izin kepada peran untuk memperoleh informasi instans dan menarik gambar.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Di halaman informasi dasar Peran RAM, klik tab Trust Policy dan klik Edit Trust Policy. Perbarui kebijakan dengan konten berikut untuk mengizinkan Peran RAM Worker kluster ACK di Akun A mengasumsikan Peran RAM milik Akun B.

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created in Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   4. Di halaman detail peran, pada bagian Basic Information, lihat dan catat ARN Peran RAM tersebut. Untuk informasi selengkapnya, lihat Bagaimana cara melihat ARN Peran RAM?

3. Di Akun A, instal komponen tanpa kata sandi untuk kluster ACK dan modifikasi item konfigurasinya.

   1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

   2. Pada halaman Clusters, temukan kluster yang diinginkan dan klik namanya. Di panel navigasi kiri, klik Add-ons.

   3. Di halaman Applications, klik tab Security. Temukan komponen aliyun-acr-credential-helper dan klik Install. Di kotak dialog yang muncul, atur tokenMode ke workerRole dan klik OK.

      

   4. Modifikasi ConfigMap komponen tanpa kata sandi.

      1. Di panel navigasi kiri, pilih Configuration > ConfigMaps.

      2. Di bagian atas halaman ConfigMaps, pilih kube-system dari daftar drop-down Namespace. Lalu, klik Edit YAML di kolom Actions untuk acr-configuration dan modifikasi konfigurasi seperti pada contoh berikut.

         data:
             service-account: "default"
             watch-namespace: "all"
             expiring-threshold: "15m"
             notify-email: "c*@example.com"
             acr-registry-info: |
               - instanceId: "cri-xxx"                                    # The ID of the ACR Enterprise Edition instance.
                 regionId: "cn-hangzhou"                                  # The region ID of the ACR Enterprise Edition instance.
                 domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # The endpoint of the ACR Enterprise Edition instance.
                 assumeRoleARN: "<ARN of the role created in Account B>"
                 expireDuration: 3600                                     # The maximum session duration of the RAM role in Account B. The default value is 3600.

Gunakan pasangan AccessKey Pengguna RAM

Dalam kluster ACK milik Akun A, komponen tanpa kata sandi menggunakan ID AccessKey dan Rahasia AccessKey Pengguna RAM dari Akun B untuk menarik gambar pribadi dari Akun B. Meskipun metode ini mudah dikonfigurasi, ID AccessKey dan Rahasia AccessKey disimpan dalam teks biasa, yang menimbulkan risiko keamanan.

1. Di Akun B, buat Pengguna RAM dan berikan izin cr.* kepada Pengguna RAM tersebut.

   1. Buat Pengguna RAM.

   2. Buat kebijakan kustom dengan konten berikut dan berikan kebijakan tersebut ke Pengguna RAM. Hal ini memberikan izin kepada Pengguna RAM untuk memperoleh informasi instans dan menarik gambar.

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. Buat pasangan AccessKey dan catat AccessKey ID dan AccessKey secret.

Di Akun A, instal komponen tanpa kata sandi untuk kluster ACK dan modifikasi item konfigurasinya.

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Di halaman Clusters, temukan kluster yang diinginkan dan klik namanya. Di panel navigasi kiri, klik Cluster Information.

3. Di halaman ACK Clusters, klik nama kluster target. Di panel navigasi kiri, klik Add-ons.

4. Di halaman Applications, klik tab Security. Temukan komponen aliyun-acr-credential-helper dan klik Install. Di kotak dialog yang muncul, atur opsi tokenMode ke auto dan klik OK.

   

5. Modifikasi ConfigMap komponen tanpa kata sandi.

   1. Di panel navigasi kiri, pilih Configuration > ConfigMaps.

   2. Di bagian atas halaman ConfigMaps, pilih kube-system dari daftar drop-down Namespace. Lalu, klik Edit YAML di kolom Actions untuk acr-configuration dan modifikasi konfigurasi seperti pada contoh berikut.

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email: "c*@example.com"
       acr-registry-info: |
         - instanceId: ""                        # The ID of the ACR Enterprise Edition instance.             
           regionId: "cn-hangzhou"               # The region ID of the ACR Enterprise Edition instance.    
           customAccessKey: "xxxxx"              # The AccessKey ID of the RAM user in Account B.
           customAccessKeySecret: "xxxxxx"       # The AccessKey secret of the RAM user in Account B.