Container Service for Kubernetes:シークレットを使用せずに Container Registry インスタンスからイメージをプルする

コンポーネントをインストールする

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスタ] をクリックします。

2. [クラスタ] ページで、管理するクラスタを見つけて、その名前をクリックします。左側のウィンドウで、[操作] > [アドオン] を選択します。

3. [アドオン] ページで、[セキュリティ] タブをクリックし、セキュリティセクションで [aliyun-acr-credential-helper (マネージド)] カードを見つけ、カードの右下隅にある [インストール] をクリックします。

4. [aliyun-acr-credential-helper をインストール] ページには、[AcrInstanceInfo] 関連のパラメーターとその他のパラメーターが表示されます。 [AcrInstanceInfo] 関連のパラメーターは、シークレットフリーコンポーネントで管理する Container Registry インスタンスに関する情報を指定します。その他のパラメーターは、シークレットフリーコンポーネントに関する情報を指定します。次の表は、パラメーターについて説明しています。

   説明

   シークレットフリーコンポーネントをインストールした後、AcrInstanceInfo 関連のパラメーターとその他のパラメーターを変更できます。

   

   関連付けられている Container Registry インスタンスに関するパラメーター

   AcrInstanceInfo		説明
   [インスタンス ID]		Container Registry インスタンスの ID。Container Registry コンソール で ID を取得できます。 重要 Container Registry Personal Edition インスタンスを使用する場合は、このパラメーターを空のままにします。 Container Registry Enterprise Edition インスタンスを使用する場合は、このパラメーターを指定する必要があります。
   [リージョン ID]		Container Registry インスタンスのリージョン ID。Container Registry コンソール でリージョン ID を取得できます。 重要 リージョンをまたいでイメージをプルする場合は、このパラメーターを指定する必要があります。
   [ドメイン]		シークレットフリーコンポーネントが Container Registry インスタンスにアクセスするために使用するドメイン名。デフォルトでは、Container Registry インスタンスのすべてのパブリックドメイン名と VPC ドメイン名が入力されます。特定のドメイン名を指定できます。複数のドメイン名はコンマ (,) で区切ります。
   アカウントをまたいでイメージをプルする場合にのみ、これらのパラメーターを指定します	[RAM ロールの ARN を想定]	Container Registry インスタンスの所有者が想定する RAM ロールの Alibaba Cloud リソースネーム (ARN)。
   	[有効期限]	Alibaba Cloud アカウント間でイメージをプルするために使用されるシークレットの有効期間。有効な値: 3600 ～ 43200。デフォルト値: 3600。単位: 秒。アカウント B の RAM ロールの MaxSessionDuration を 43200 に設定します。
   	[RRSA ロールの ARN]	ACK クラスタの所有者が想定する RAM ロールの ARN。
   	[RRSA OIDC プロバイダーのロール ARN]	ACK クラスタの OIDC (OpenID Connect) IdP (ID プロバイダー) の ARN。

   シークレットフリーコンポーネントに関するパラメーター

   パラメーター	説明
   [RRSA を有効にするかどうかを指定します]	アカウントをまたいでイメージをプルする場合は、このオプションを選択して RRSA 機能を有効にします。
   [名前空間を監視]	シークレットを使用せずにイメージをプルする名前空間を指定します。デフォルト値: default。all の値は、Container Registry インスタンスのすべての名前空間を指定します。複数の名前空間を指定できます。複数の名前空間はコンマ (,) で区切ります。このパラメーターにはビジネス名前空間を構成することをお勧めします。パラメーターを all またはクラスターのシステムコンポーネントが格納されている名前空間に設定すると、システムコンポーネントイメージのプルに失敗する可能性があります。
   [サービスアカウント]	managed-aliyun-acr-credential-helper に関連付けられているサービスアカウントを指定します。デフォルト値: Default。Default の値は、指定されたすべての名前空間のデフォルトのサービスアカウントを指定します。アスタリスク (*) の値は、指定された名前空間のすべてのサービスアカウントを指定します。複数のサービスアカウントを指定できます。サービスアカウントはコンマ (,) で区切ります。
   [有効期限のしきい値]	シークレットの有効期限が切れるまでの期間を指定します。デフォルト値: 15m。デフォルト値を使用することをお勧めします。デフォルト値は、シークレットの有効期限が切れる 15 分前にシークレットが自動的に更新されることを指定します。
   [通知メール]	このパラメーターを指定する必要はありません。

シークレットフリーコンポーネントの構成を更新する

シークレットフリーコンポーネントの構成を更新するには、[アドオン] ページの [aliyun-acr-credential-helper (マネージド)] カードの右下隅にある [構成] をクリックします。構成の更新に使用されるパラメーターの詳細については、前の表「関連付けられている Container Registry インスタンスに関するパラメーター」および「シークレットフリーコンポーネントに関するパラメーター」を参照してください。

イメージをプルする

シークレットフリーコンポーネントをインストールして構成した後、ワークロードの作成時にシークレットフリーコンポーネントに関連付けられているサービスアカウントを指定して、シークレットを使用せずにイメージをプルできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # シークレットフリーコンポーネントに関連付けられているサービスアカウントを指定します。
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # Container Registry イメージのアドレスを指定します。
        ports:
        - containerPort: 80

その他の操作

コンポーネントをインストールする

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスタ] をクリックします。

2. [クラスタ] ページで、管理するクラスタを見つけて、その名前をクリックします。左側のウィンドウで、[操作] > [アドオン] を選択します。

3. [アドオン] ページで、[セキュリティ] タブをクリックし、セキュリティセクションで [aliyun-acr-credential-helper] カードを見つけ、カードの右下隅にある [インストール] をクリックします。

4. [aliyun-acr-credential-helper をインストール] ダイアログボックスで、[tokenMode] ドロップダウンリストからコンポーネントが使用する権限モードを選択し、[OK] をクリックします。次の表は、コンポーネントで使用できる権限モードについて説明しています。コンポーネントをインストールした後、シークレットを使用せずにイメージをプルするためにコンポーネントを使用する前に、コンポーネントを構成する必要があります。コンポーネントの構成方法については、シークレットフリーコンポーネントの構成を更新する を参照してください。

   tokenMode	説明
   [自動]	(推奨) コンポーネントは、クラスタがいつ作成されたかを検出し、コンポーネントが使用する権限モードを自動的に決定します。クラスタが 2023 年 4 月 3 日より前に作成された場合、コンポーネントは workerRole 権限モードを使用します。クラスタが 2023 年 4 月 3 日以降に作成された場合、コンポーネントは managedRole 権限モードを使用します。 重要 2023 年 4 月 3 日以降にリリースされた aliyun-acr-credential-helper のバージョンでは、コンポーネントが依存する RAM ロールを指定できる構成項目が提供されています。詳細については、[製品の変更] aliyun-acr-credential-helper が依存する権限を取り消す を参照してください。
   [マネージドロール]	コンポーネントは、前提条件 で特定の権限が付与されている AliyunCSManagedAcrRole ロールを使用して権限を取得します。
   [ワーカーロール]	コンポーネントは、クラスタのワーカーロールを使用して権限を取得します。このモードを使用するには、クラスタのワーカーロールに特定の権限を付与する必要があります。詳細については、aliyun-acr-credential-helper が workerRole 権限モードを使用する を参照してください。 重要 ロールの想定によってアカウントをまたいでイメージをプルする場合は、このモードを選択します。

シークレットフリーコンポーネントの構成を更新する

aliyun-acr-credential-helper コンポーネントをインストールした後、イメージをプルする前に、ACK コンソールまたは kubectl を使用して [acr-configuration] ConfigMap を構成する必要があります。

イメージをプルする

シークレットフリーコンポーネントをインストールして構成した後、ワークロードの作成時にシークレットフリーコンポーネントに関連付けられているサービスアカウントを指定して、シークレットを使用せずにイメージをプルできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # シークレットフリーコンポーネントに関連付けられているサービスアカウントを指定します。
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # Container Registry イメージのアドレスを指定します。
        ports:
        - containerPort: 80

注意事項

data:
    service-account: default
    watch-namespace: all
    expiring-threshold: 15m
    notify-email: c*@example.com 
    acr-registry-info: |
      - instanceId: ""  # Container Registry Personal Edition インスタンスからイメージをプルする場合は、このパラメーターを空のままにします。
        regionId: cn-xxxx

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cr:GetAuthorizationToken",
                "cr:ListInstanceEndpoint",
                "cr:PullRepository"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

その他の操作

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10