Container Registry:同一アカウント内の ACR Enterprise Edition インスタンスからイメージをプルするためのパスワードレスコンポーネントの使用

ステップ 1: コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。

2. クラスターリスト ページで、クラスターの名前をクリックします。左側のナビゲーションウィンドウで、アドオン管理 をクリックします。

3. アドオン管理 ページで、セキュリティ タブをクリックし、aliyun-acr-credential-helper (マネージド) カードを見つけて、インストール をクリックします。

4. [コンポーネント aliyun-acr-credential-helper のインストール] ページで、[AcrInstanceInfo] の設定とその他のオプションを確認します。[AcrInstanceInfo] には、コンポーネントに関連付けられている各 ACR インスタンスの設定が含まれています。その他のオプションはコンポーネントの設定です。コンポーネントが監視する名前空間や ServiceAccount を変更する必要がない場合は、デフォルト設定のままにすることができます。

   コンポーネントのインストール後、アドオン管理 ページにある aliyun-acr-credential-helper (managed) カードの 設定 をクリックして、その設定を変更できます。

   ACR インスタンスの関連付け設定：

   AcrInstanceInfo		説明
   InstanceId		ACR インスタンスの ID。Container Registry コンソールから ID を取得できます。 重要 ACR Personal Edition インスタンスの場合は、このフィールドを空白のままにします。このフィールドは ACR Enterprise Edition インスタンスでは必須です。
   regionId		ACR インスタンスがデプロイされているリージョンの ID。Container Registry コンソールから ID を取得できます。 重要 このパラメーターは、クロスリージョンでのイメージプルに必須です。
   domains		パスワードレスコンポーネントが ACR インスタンスにアクセスするために使用するドメイン名。デフォルトでは、指定された ACR インスタンスのすべてのドメイン名 (インターネットおよび VPC) が含まれます。複数のドメイン名を指定するには、カンマ (,) で区切ります。
   クロスアカウントでのイメージプルの設定 これらの設定は、クロスアカウントでのイメージプルに適用されます。この機能が必要ない場合は、フィールドを空白のままにします。	assumeRoleARN	同一アカウントでのプルには設定は不要です。クロスアカウントでのプルについては、「クロスアカウントでのイメージのプル」をご参照ください。
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   コンポーネント設定

   パラメーター	説明
   RRSA の有効化	RRSA を有効にするには、このチェックボックスを選択します。同一アカウントでのプルには設定は不要です。クロスアカウントでのプルについては、「クロスアカウントでのイメージのプル」をご参照ください。
   watchNamespace	パスワードレスでのイメージプルを有効にする名前空間。デフォルト値はdefaultです。すべての名前空間でこの機能を有効にするには、値をallに設定します。複数の名前空間を指定するには、カンマ (,) で区切ります。システムイメージのプルに支障をきたさないように、ビジネス用の名前空間のみを指定し、allやクラスターシステムコンポーネント用の名前空間の使用は避けることを推奨します。
   serviceAccount	マネージドパスワードレスコンポーネントが適用される ServiceAccount を指定します。デフォルト値は Default です。Default の値は、指定された名前空間のデフォルトの ServiceAccount にコンポーネントを適用します。値を * に設定すると、コンポーネントは指定された名前空間のすべての ServiceAccount に適用されます。複数の ServiceAccount を指定するには、カンマ (,) で区切ります。
   expiringThreshold	コンポーネント内の認証情報の有効期限のしきい値。デフォルト値は15mです。
   notifyEmail	設定は不要です。

ステップ 2: イメージのプル

パスワードレスコンポーネントをインストールして設定した後、ワークロードを作成する際にコンポーネントに関連付けられた ServiceAccount を指定します。これにより、パスワードレスでのイメージプルが可能になります。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワードレスコンポーネントに関連付けられた ServiceAccount を指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージアドレスを指定します。
        ports:
        - containerPort: 80

ステップ 1: コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、クラスターリスト をクリックします。

2. クラスターリスト ページで、クラスターの名前をクリックします。左側のナビゲーションウィンドウで、アドオン管理 をクリックします。

3. アドオン管理 ページで、セキュリティ タブをクリックし、aliyun-acr-credential-helper カードを見つけて、インストール をクリックします。

4. パラメーター ページで、[tokenMode] ドロップダウンリストから権限モードを選択し、OK をクリックします。コンポーネントのインストール後、イメージをプルする前に設定を行う必要があります。詳細については、「ステップ 2: コンポーネント設定の更新 (ACR インスタンスの追加)」をご参照ください。

   tokenMode	説明
   auto	(推奨) コンポーネントはクラスターの作成時刻を検出し、自動的に権限モードを選択します。2023 年 4 月 3 日より前に作成されたクラスターは workerRole モードを使用します。2023 年 4 月 3 日以降に作成されたクラスターは managedRole モードを使用します。 重要 2023 年 4 月 3 日以降にリリースされた aliyun-acr-credential-helper のバージョンでは、コンポーネントが依存する RAM ロールをカスタマイズできるパラメーターが提供されています。詳細については、「[製品変更] aliyun-acr-credential-helper コンポーネントが必要とする権限の変更に関するお知らせ」をご参照ください。
   managedRole	コンポーネントは、「前提条件」で権限が付与された AliyunCSManagedAcrRole ロールを使用して権限を取得します。
   workerRole	コンポーネントは、クラスターのワーカー RAM ロールを使用して権限を取得します。ワーカー RAM ロールに特定の権限を付与する必要があります。 コンポーネントモードとして workerRole を選択 コンポーネントの権限モードとして workerRole を選択した場合、クラスターのワーカー RAM ロールには次の権限が必要です。権限の付与方法については、「RAM ロール権限の管理」をご参照ください。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 ロールを引き受けることでアカウント間でイメージをプルする必要がある場合は、このモードを選択します。

ステップ 2: コンポーネント設定の更新

パスワードレスコンポーネントのインストール後、イメージをプルする前に、acr-configuration ConfigMap を設定して ACR インスタンスを追加する必要があります。これは、コンソールまたは kubectl を使用して行うことができます。

ステップ 3: イメージのプル

パスワードレスコンポーネントをインストールして設定した後、ワークロードを作成する際にコンポーネントに関連付けられた ServiceAccount を指定します。これにより、パスワードレスでのイメージプルが可能になります。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # パスワードレスコンポーネントに関連付けられた ServiceAccount を指定します。
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # ACR イメージアドレスを指定します。
        ports:
        - containerPort: 80

イメージプルの失敗のトラブルシューティング

考えられる原因の 1 つは、パスワードレスコンポーネントの設定が正しくないことです。例：

• パスワードレスコンポーネントで設定されたインスタンス情報が ACR インスタンスと一致しない。

• プルに使用されるイメージアドレスが、コンポーネントのインスタンス情報で指定されたドメイン名と一致しない。

このトピックの手順に従って、問題をトラブルシューティングしてください。

コンポーネントが正しく設定されているにもかかわらずイメージのプルが失敗する場合、ワークロード YAML で手動で指定されたimagePullSecretsフィールドとパスワードレスコンポーネントとの間に競合がある可能性があります。これを解決するには、imagePullSecretsフィールドを手動で削除し、Pod を再作成します。

imagePullSecrets の使用方法

2024 年 9 月 9 日以降に作成された ACR Personal Edition インスタンスは、パスワードレスコンポーネントをサポートしていません。これらのインスタンスでは、ユーザー名とパスワードを Secret に保存し、imagePullSecretsフィールドで参照することを推奨します。

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 前のステップで作成した Secret を使用します。
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # ACR イメージアドレスに置き換えます。