Container Service for Kubernetes:パスワードレスコンポーネントを使用して、同一アカウント内の ACR Enterprise Edition インスタンスからイメージをプルする

ステップ 1：コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。

2. クラスターリスト ページで、クラスターの名前をクリックします。左側のナビゲーションウィンドウで、アドオン管理 をクリックします。

3. アドオン管理 ページで、セキュリティ タブをクリックし、aliyun-acr-credential-helper (Managed) カードを探し、インストール をクリックします。

4. [aliyun-acr-credential-helper コンポーネントのインストール] ページで、[AcrInstanceInfo] 構成およびその他のオプションを表示します。[AcrInstanceInfo] は、コンポーネントに関連付けられている各 ACR インスタンスの構成を指定します。その他のオプションはコンポーネント設定です。デフォルト設定がお客様の名前空間およびサービスアカウントに適している場合は、そのまま使用できます。

   コンポーネントがインストールされると、アドオン管理 ページに移動し、aliyun-acr-credential-helper (マネージド型) カードで 設定 をクリックしてコンポーネントの設定を変更できます。

   

   関連付けられた ACR インスタンスの設定：

   AcrInstanceInfo		説明
   インスタンス ID		ACR インスタンスの ID。Container Registry コンソールで ID を確認できます。 重要 Personal Edition インスタンスの場合は、このフィールドを空のままにします。ACR Enterprise Edition インスタンスの場合は、このフィールドは必須です。
   リージョン ID		ACR インスタンスが配置されているリージョンの ID。Container Registry コンソールで ID を確認できます。 重要 このフィールドは、クロスリージョンのイメージプルに必須です。
   ドメイン		パスワードレスコンポーネントが ACR インスタンスへのアクセスに使用するドメイン名。デフォルトでは、指定された ACR インスタンスのすべてのドメイン名 (インターネットおよび VPC) が使用されます。複数のドメイン名を指定するには、カンマ (,) で区切ります。
   クロスアカウントのイメージプルの設定 これらの設定は、クロスアカウントのイメージプルに適用されます。この機能が不要な場合は、これらのフィールドを空のままにしてください。	偽装ロールARN	これらの設定は、同一アカウントでのイメージプルには不要です。クロスアカウントでのイメージプルについては、「クロスアカウントでのイメージのプル」をご参照ください。
   	有効期間
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   コンポーネント設定

   パラメーター	説明
   RRSA の有効化	RRSA を有効にするには、このチェックボックスを選択します。この設定は、同一アカウントでのイメージプルには不要です。クロスアカウントでのイメージプルについては、「クロスアカウントでのイメージのプル」をご参照ください。
   監視名前空間	パスワードレスでのイメージプルを有効にする名前空間。デフォルト値は default です。すべての名前空間でパスワードレスでのイメージプルを有効にするには、値を all に設定します。複数の名前空間を指定するには、カンマ (,) で区切ります。ビジネス用の名前空間のみを指定することを推奨します。システムコンポーネントのイメージプルを妨げないように、all やシステムコンポーネントを含む名前空間の指定は避けてください。
   サービスアカウント	マネージド版パスワードレスコンポーネントを指定されたサービスアカウントに適用します。デフォルト値は Default です。このパラメーターが Default に設定されている場合、コンポーネントは指定された各名前空間のデフォルトのサービスアカウントに適用されます。このパラメーターをアスタリスク (*) に設定すると、コンポーネントは指定された名前空間のすべてのサービスアカウントに適用されます。複数のサービスアカウントを指定するには、カンマ (,) で区切ります。
   expiringThreshold	コンポーネント内の認証情報の有効期限のしきい値。デフォルト値は 15m です。
   notifyEmail	設定は不要です。

ステップ 2：イメージのプル

パスワードレスコンポーネントをインストールして設定した後、ワークロードを作成する際に関連付けられたサービスアカウントを指定することで、パスワードレスでのイメージプルを有効にできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワードレスコンポーネントに関連付けられたサービスアカウントを指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

ステップ 1：コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。

2. クラスターリスト ページでクラスターの名前をクリックし、左側のナビゲーションウィンドウで アドオン管理 をクリックします。

3. アドオン管理 ページで、セキュリティ タブをクリックし、[aliyun-acr-credential-helper] カードを探して、インストール をクリックします。

4. パラメーター ページで、[tokenMode] ドロップダウンリストから権限モードを選択し、OK をクリックします。コンポーネントのインストール後、イメージをプルするには設定が必要です。詳細については、「ステップ 2: コンポーネント設定の変更 (ACR インスタンスの追加)」をご参照ください。

   tokenMode	説明
   自動	(推奨) コンポーネントはクラスターの作成日時を確認し、自動的に権限モードを選択します。2023 年 4 月 3 日より前に作成されたクラスターは workerRole モードを使用します。2023 年 4 月 3 日以降に作成されたクラスターは managedRole モードを使用します。 重要 2023 年 4 月 3 日以降にリリースされた aliyun-acr-credential-helper のバージョンでは、コンポーネントが依存する RAM ロールをカスタマイズできる設定項目が提供されています。詳細については、「[製品変更] aliyun-acr-credential-helper コンポーネントが必要とする権限の変更に関するお知らせ」をご参照ください。
   マネージドロール	コンポーネントは、「前提条件」セクションで承認した AliyunCSManagedAcrRole ロールを使用して権限を取得します。
   ワーカーロール	コンポーネントは、クラスターのワーカー RAM ロールを使用して権限を取得します。ワーカー RAM ロールに特定の権限を付与する必要があります。 workerRole モードの権限 コンポーネントの権限モードとして workerRole を選択した場合、クラスターのワーカー RAM ロールには以下の権限が必要です。権限の付与方法については、「RAM ロールの権限管理」をご参照ください。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 ロールを引き受けることでアカウント間でイメージをプルするには、このモードを選択します。

ステップ 2：コンポーネント設定の構成

パスワードレスコンポーネントをインストールした後、イメージをプルするには、[acr-configuration] ConfigMap を構成して ACR インスタンスを追加する必要があります。この操作は、コンソールまたは kubectl を使用して行うことができます。

ステップ 3：イメージのプル

パスワードレスコンポーネントをインストールして設定した後、ワークロードを作成する際に関連付けられたサービスアカウントを指定することで、パスワードレスでのイメージプルを有効にできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワードレスコンポーネントに関連付けられたサービスアカウントを指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

イメージのプルが失敗する原因

考えられる原因の 1 つは、パスワードレスコンポーネントの設定ミスです。例：

• パスワードレスコンポーネントのインスタンス情報が ACR インスタンスと一致しない。

• プルに使用されるイメージアドレスが、パスワードレスコンポーネントのインスタンス情報のドメイン名と一致しない。

このトピックの手順に従って、問題をトラブルシューティングしてください。

コンポーネントが正しく設定されているにもかかわらずイメージのプルが失敗する場合、ワークロードの YAML に手動で入力された imagePullSecrets とパスワードレスコンポーネントとの間に競合が発生している可能性があります。この問題を解決するには、imagePullSecrets フィールドを手動で削除し、古い Pod を削除して再作成します。

imagePullSecrets の使用方法

2024 年 9 月 9 日以降に作成された ACR Personal Edition インスタンスは、パスワードレスコンポーネントをサポートしていません。これらのインスタンスでは、ユーザー名とログインパスワードを Secret に保存し、imagePullSecrets フィールドで使用することを推奨します。

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 前のステップで作成した Secret を使用します。
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # ACR リンクに置き換えます。