Elastic Container Instance：Tarik gambar dari instance Container Registry tanpa menggunakan rahasia

Jika sumber daya yang akan dibuat seperti instance kontainer elastis dan instance Container Registry milik akun Alibaba Cloud yang sama, dan instance Container Registry adalah instance Enterprise Edition yang menggunakan nama domain default atau instance Personal Edition, penarikan gambar tanpa rahasia diaktifkan secara default untuk instance Container Registry. Dalam hal ini, Anda dapat mengonfigurasi peran RAM berdasarkan kebutuhan bisnis Anda untuk membatasi cakupan instance Container Registry yang mendukung penarikan gambar tanpa rahasia. Misalnya, Anda dapat menentukan hanya satu instance Container Registry yang mendukung penarikan gambar tanpa rahasia.

Prosedur:

Langkah 1: Buat peran RAM dan berikan izin kepada peran RAM

1. Buat peran RAM untuk layanan Alibaba Cloud yang tepercaya. Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk Layanan Alibaba Cloud yang Tepercaya.

   Catat parameter berikut:

   • Tipe Principal: Layanan Cloud

   • Nama Principal: Elastic Container Instance

   • Nama Peran RAM: Contoh: acr-test.

2. Buat kebijakan izin kustom. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom.

   Contoh berikut menunjukkan isi kebijakan, yang menunjukkan bahwa hanya gambar dalam instance Container Registry yang ditentukan yang dapat ditarik. Untuk informasi lebih lanjut tentang cara menulis kebijakan, lihat Elemen Kebijakan.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. Lampirkan kebijakan kustom ke peran RAM. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Peran RAM.

4. Temukan peran acr-test yang Anda buat. Klik nama peran untuk masuk ke halaman detail. Verifikasi izin dan dapatkan Nama Sumber Daya Alibaba Cloud (ARN) dari peran RAM.

   

Langkah 2: Tentukan peran RAM yang Anda buat di Langkah 1 untuk membuat sumber daya

Saat memanggil operasi API CreateContainerGroup untuk membuat instance kontainer elastis atau memanggil operasi API CreateImageCache untuk membuat cache gambar, Anda dapat menggunakan parameter AcrRegistryInfo.N.ArnService untuk menentukan peran RAM yang digunakan untuk membuat sumber daya. Tabel berikut menjelaskan parameter tersebut. Untuk informasi lebih lanjut, lihat CreateContainerGroup dan CreateImageCache.

Sebagai contoh, jika Anda membuat instance kontainer elastis, Anda dapat menentukan parameter berikut dalam OpenAPI:

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

Langkah 1: Buat peran RAM dan berikan izin kepada peran RAM

1. Buat peran RAM di Akun A tempat sumber daya yang akan dibuat seperti instance kontainer elastis berada dan berikan izin kepada peran RAM tersebut.

   1. Buat peran RAM untuk layanan Alibaba Cloud yang tepercaya. Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk Layanan Alibaba Cloud yang Tepercaya.

      Catat parameter berikut:

      • Tipe Principal: Layanan Cloud

      • Nama Principal: Elastic Container Instance

      • Nama Peran RAM: Contoh: role-assume.

   2. Berikan peran role-assume izin untuk memanggil operasi API AssumeRole dari Security Token Service (STS). Untuk informasi lebih lanjut, lihat bagian "Metode 2: Berikan Izin kepada Peran RAM dengan Mengklik Input and Attach di Halaman Roles" dari topik Berikan Izin kepada Peran RAM.

      Atur tipe kebijakan ke kebijakan sistem, dan nama kebijakan ke AliyunSTSAssumeRoleAccess.

   3. Temukan peran role-assume yang Anda buat. Klik nama peran untuk masuk ke halaman detail. Verifikasi izin dan kebijakan kepercayaan, dan dapatkan ARN dari role-assume.

      • Izin dan ARN

        

      • Kebijakan Kepercayaan

        

2. Buat peran RAM di Akun B tempat instance Container Registry berada dan berikan izin kepada peran RAM tersebut.

   1. Buat peran RAM untuk akun Alibaba Cloud yang tepercaya. Untuk informasi lebih lanjut, lihat Buat Peran RAM untuk Akun Alibaba Cloud yang Tepercaya.

      Catat parameter berikut:

      • Tipe Principal: Akun Cloud

      • Nama Principal: Akun Lain. Masukkan Akun A tempat sumber daya yang akan dibuat seperti instance kontainer elastis berada.

      • Nama Peran RAM: Contoh: role-acr.

   2. Berikan peran role-acr izin untuk menarik gambar dari instance Container Registry. Untuk informasi lebih lanjut, lihat bagian "Metode 2: Berikan Izin kepada Peran RAM dengan Mengklik Input and Attach di Halaman Roles" dari topik Berikan Izin kepada Peran RAM.

      Atur tipe kebijakan ke kebijakan sistem, dan nama kebijakan ke AliyunContainerRegistryFullAccess.

   3. Edit kebijakan kepercayaan untuk membuat role-acr dipercayai oleh role-assume. Untuk informasi lebih lanjut, lihat Edit Kebijakan Kepercayaan Peran RAM.

      Secara default, peran role-acr dapat diasumsikan oleh semua pengguna RAM dan peran RAM di Akun A. Kami sarankan Anda mengedit kebijakan kepercayaan untuk memberikan izin hanya kepada pengguna RAM dan peran RAM yang diperlukan di Akun A.

      Dalam elemen Principal, ubah nilai bidang RAM menjadi ARN dari role-assume. Ini menunjukkan bahwa peran role-acr hanya dapat diasumsikan oleh role-assume. Contoh:

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. Verifikasi izin dan kebijakan kepercayaan dan dapatkan ARN dari role-acr.

      • Izin dan ARN

        

      • Kebijakan Kepercayaan

        

Langkah 2: Tentukan peran RAM yang Anda buat di Langkah 1 untuk membuat sumber daya

Jika Anda memanggil operasi API CreateContainerGroup untuk membuat instance kontainer elastis atau memanggil operasi API CreateImageCache untuk membuat cache gambar, Anda dapat mengonfigurasi parameter terkait AcrRegistryInfo untuk menentukan instance Container Registry dalam akun Alibaba Cloud yang berbeda dari akun sumber daya yang akan dibuat. Catat item berikut:

• Jika instance Container Registry milik akun Alibaba Cloud yang berbeda dari akun sumber daya yang akan dibuat, Anda harus mengatur ArnService dan ArnUser untuk menentukan peran RAM untuk konfigurasi izin.

• Jika instance Container Registry adalah instance Enterprise Edition yang menggunakan nama domain kustom, Anda harus mengatur InstanceId untuk menentukan instance Container Registry.

Untuk informasi lebih lanjut, lihat CreateContainerGroup dan CreateImageCache.

Sebagai contoh, jika Anda membuat instance kontainer elastis, Anda dapat menentukan parameter berikut dalam OpenAPI:

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.N.ArnUser=acs:ram::1298452580******:role/role-acr