Elastic Container Instance:Tarik image ACR tanpa rahasia

Saat instans ACR dan sumber daya ECI berada dalam Akun Alibaba Cloud yang sama, akses bebas rahasia diaktifkan secara default untuk instans Edisi Personal dan untuk instans Edisi Enterprise yang menggunakan nama domain default. Anda dapat secara opsional mengonfigurasi peran Resource Access Management (RAM) untuk membatasi akses ini, misalnya hanya mengizinkan penarikan dari instans ACR tertentu.

Konfigurasi ini terdiri dari dua langkah.

Langkah 1: Buat dan otorisasi peran RAM

1. Buat peran RAM untuk layanan Alibaba Cloud tepercaya. Untuk informasi selengkapnya, lihat Buat peran RAM untuk layanan Alibaba Cloud tepercaya.

   Perhatikan parameter berikut:

   • Tipe prinsipal: Cloud Service

   • Nama prinsipal: Elastic Container Instance

   • Nama peran: acr-test (contoh)

2. Buat kebijakan izin kustom. Untuk informasi selengkapnya, lihat Buat kebijakan izin kustom.

   Kebijakan berikut hanya mengizinkan penarikan gambar dari instans ACR yang ditentukan. Untuk informasi selengkapnya tentang cara menulis kebijakan izin, lihat Elemen kebijakan.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. Sambungkan kebijakan izin kustom ke peran RAM. Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.

4. Temukan peran acr-test yang baru dibuat dan klik namanya untuk membuka halaman detail. Verifikasi izin dan dapatkan ARN-nya.

   Di bagian Informasi Dasar, temukan bidang ARN (berformat acs:ram::<AccountID>:role/acr-test) dan klik tombol salin di sebelahnya. Di tab Permissions, verifikasi bahwa kebijakan kustom acr telah disambungkan.

Langkah 2: Tentukan peran RAM

Saat memanggil operasi CreateContainerGroup untuk membuat instans ECI atau operasi CreateImageCache untuk membuat cache gambar, atur parameter AcrRegistryInfo.N.ArnService guna menentukan peran RAM yang akan digunakan saat membuat sumber daya. Parameter ini dijelaskan dalam tabel berikut. Untuk informasi selengkapnya, lihat CreateContainerGroup dan CreateImageCache.

Contoh berikut menunjukkan cara pass parameter melalui OpenAPI untuk membuat instans ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

Langkah 1: Buat dan otorisasi peran RAM

1. Di Akun A, yang memiliki sumber daya ECI, buat dan otorisasi peran RAM.

   1. Buat peran RAM untuk layanan Alibaba Cloud tepercaya. Untuk informasi selengkapnya, lihat Buat peran RAM untuk layanan Alibaba Cloud tepercaya.

      Perhatikan parameter berikut:

      • Tipe prinsipal: Cloud Service

      • Nama prinsipal: Elastic Container Instance

      • Nama peran: role-assume (contoh)

   2. Berikan izin kepada peran role-assume untuk memanggil operasi AssumeRole Layanan Token Keamanan (STS). Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.

      Sambungkan kebijakan sistem AliyunSTSAssumeRoleAccess.

   3. Temukan peran role-assume yang baru dibuat, klik namanya untuk membuka halaman detail, lalu verifikasi izin dan kebijakan kepercayaan serta dapatkan ARN-nya.

      • Izin dan ARN

        ARN dari peran RAM adalah acs:ram::<AccountID>:role/role-assume. Peran ini diberikan kebijakan sistem AliyunSTSAssumeRoleAccess, yang mengizinkannya memanggil operasi STS AssumeRole.

      • Kebijakan kepercayaan

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. Di Akun B, yang memiliki instans ACR, buat dan otorisasi peran RAM.

   1. Buat peran RAM untuk akun Alibaba Cloud tepercaya. Untuk informasi selengkapnya, lihat Buat peran RAM untuk akun Alibaba Cloud tepercaya.

      Perhatikan parameter berikut:

      • Tipe prinsipal: Alibaba Cloud Account

      • Nama prinsipal: Other Alibaba Cloud Account. Masukkan ID Akun A, yang memiliki sumber daya ECI.

      • Nama peran: role-acr (contoh)

   2. Berikan izin kepada peran role-acr untuk menarik gambar ACR. Untuk informasi selengkapnya, lihat Berikan izin kepada peran RAM.

      Sambungkan kebijakan sistem AliyunContainerRegistryFullAccess.

   3. Ubah kebijakan kepercayaan untuk mengizinkan peran role-assume mengasumsikan peran role-acr. Untuk informasi selengkapnya, lihat Ubah kebijakan kepercayaan peran RAM.

      Secara default, peran role-acr dapat diasumsikan oleh pengguna RAM atau peran RAM mana pun yang diotorisasi di Akun A. Kami menyarankan agar Anda mengubah kebijakan kepercayaan untuk otorisasi yang tepat.

      Di bagian Principal, ubah nilai bidang RAM menjadi ARN dari peran role-assume. Hal ini memastikan hanya peran role-assume yang dapat mengasumsikan peran role-acr. Contoh:

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. Verifikasi izin dan kebijakan kepercayaan, lalu dapatkan ARN-nya.

      • Izin dan ARN

        ARN dari peran role-acr adalah acs:ram::<AccountID>:role/role-acr. Anda dapat mengklik tombol salin untuk menyalin nilainya. Di tab Permissions, verifikasi bahwa kebijakan sistem AliyunContainerRegistryFullAccess telah disambungkan dan cakupan sumber dayanya berada di tingkat akun.

      • Kebijakan kepercayaan

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::10051309xxxx:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

Langkah 2: Tentukan peran RAM

Saat memanggil operasi CreateContainerGroup atau CreateImageCache, Anda dapat mengatur parameter AcrRegistryInfo untuk menentukan instans ACR dari akun Alibaba Cloud lain. Perhatikan hal berikut:

• Jika instans ACR dimiliki oleh akun Alibaba Cloud lain, Anda harus mengatur parameter ArnService dan ArnUser untuk menentukan peran RAM guna konfigurasi izin.

• Jika instans ACR Edisi Enterprise menggunakan nama domain kustom, Anda juga harus mengatur parameter InstanceId.

Untuk informasi selengkapnya, lihat CreateContainerGroup dan CreateImageCache.

Contoh berikut menunjukkan cara pass parameter melalui OpenAPI untuk membuat instans ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.1.ArnUser=acs:ram::1298452580******:role/role-acr