Container Service for Kubernetes:パスワードレスコンポーネントを使用したクロスアカウントのイメージのプル

アカウント A で、ACK クラスターの RRSA 機能を有効にし、ロールの引き受け権限を持つ RAM ロールを作成します。

1. ACK クラスターの RRSA 機能を有効にします。

   1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

   2. [クラスター] ページで、管理するクラスターの名前をクリックします。 左側のウィンドウで、[クラスター情報] をクリックします。

   3. [基本情報] タブの [セキュリティと監査] セクションで、[RRSA OIDC] の横にある [有効化] をクリックします。

   4. [RRSA の有効化] ダイアログボックスで、[確認] をクリックします。クラスターのステータスが [更新中] から [実行中] に変わるまで待ちます。これで RRSA が有効になりました。

   5. RRSA を有効にした後、[セキュリティと監査] セクションの [RRSA OIDC] の横にある [有効] ラベルにカーソルを合わせます。OIDC プロバイダーの URL と Alibaba Cloud リソースネーム (ARN) が表示されます。

2. OIDC ID プロバイダー用の RAM ロールを作成し、その信頼ポリシーを以下の内容で更新します。

   • <oidc_issuer_url> を、前の手順で取得した OIDC プロバイダーの URL に置き換えます。

   • <oidc_provider_arn> を、前の手順で取得した OIDC プロバイダーの ARN に置き換えます。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. AliyunSTSAssumeRoleAccess 権限ポリシーをロールにアタッチしてロールの引き受け権限を付与し、その ARN を記録します。詳細については、「RAM ロールの権限管理」をご参照ください。

   1. ロールの詳細ページの 権限付与 タブで、新規権限 をクリックします。

   2. 新規権限 パネルの ポリシー で、[AliyunSTSAssumeRoleAccess] ポリシーを見つけて選択し、権限を付与 をクリックします。

   3. ロールの詳細ページの 基本情報 セクションで、RAM ロールの ARN を表示して記録します。詳細な手順については、「RAM ロールの ARN を表示する方法」をご参照ください。

アカウント A で、クラスターの Worker RAM ロールを表示し、ロールの引き受け権限を付与します。

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 左側のウィンドウで、[クラスター情報] をクリックします。

3. クラスター情報 ページの 基本情報 タブをクリックします。クラスターリソース セクションで、[Worker RAM ロール]の右側にあるリンクをクリックします。

4. AliyunSTSAssumeRoleAccess 権限ポリシーをロールにアタッチしてロールの引き受け権限を付与し、その ARN を記録します。詳細については、「RAM ロールの権限管理」をご参照ください。

   1. ロールの詳細ページの 権限付与 タブで、新規権限 をクリックします。

   2. 新規権限 パネルの ポリシー で、[AliyunSTSAssumeRoleAccess] ポリシーを見つけて選択し、権限を付与 をクリックします。

   3. ロールの詳細ページの 基本情報 セクションで、RAM ロールの ARN を表示して記録します。詳細な手順については、「RAM ロールの ARN を表示する方法」をご参照ください。

アカウント A で、ACK クラスターにパスワードレスコンポーネントをインストールし、その設定を変更します。

1. ACK コンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 左側のウィンドウで、[操作] > [アドオン] を選択します。

3. アドオン管理 ページの セキュリティ タブで、[aliyun-acr-credential-helper] コンポーネントを見つけ、インストール をクリックします。表示されるダイアログボックスで、[tokenMode] オプションを [workerRole] に設定し、OK をクリックします。

4. パスワードレスコンポーネントの ConfigMap を変更します。

   1. 左側メニューで、設定 > ConfigMap を選択します。

   2. ConfigMap ページで、[名前空間] ドロップダウンリストから [名前空間] を選択します。次に、[acr-configuration] を見つけ、YAML の編集 列の [YAML の編集] をクリックします。

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition インスタンス ID。
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition のリージョン ID。
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition のアクセスドメイン名。
              assumeRoleARN: "<アカウント B で作成したロールの ARN>"
              expireDuration: 3600                                     # アカウント B の RAM ロールの最大セッション期間。デフォルト：3600。