Container Registry:シークレットフリーコンポーネントを使用して、同一アカウント内の ACR Enterprise Edition インスタンスからイメージをプルする

ステップ 1: コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. クラスター ページで、目的のクラスターを見つけてその名前をクリックします。左側のペインで、[操作] > [アドオン] を選択します。

3. [アドオン] ページで、[セキュリティ] タブを選択します。[Aliyun-acr-credential-helper (マネージド)] カードを見つけて、[インストール] をクリックします。

4. [Aliyun-acr-credential-helper のインストール] ページで、[AcrInstanceInfo] 設定およびその他のオプションを表示できます。[AcrInstanceInfo] には、コンポーネントに関連付けられた各 ACR インスタンスの設定が含まれています。その他のオプションはコンポーネント設定です。コンポーネントが監視する名前空間またはサービスアカウントを変更する必要がない場合は、デフォルト設定を維持できます。

   コンポーネントがインストールされた後、その設定を変更できます。[アドオン] ページで、[Aliyun-acr-credential-helper (マネージド)] カードの [設定] をクリックします。

   

   関連付けられた ACR インスタンスの設定:

   AcrInstanceInfo		説明
   InstanceId		ACR インスタンスの ID。ID は Container Registry コンソールで取得できます。 重要 Personal Edition ACR インスタンスの場合は、このパラメーターを空のままにします。Enterprise Edition ACR インスタンスの場合は、このパラメーターは必須です。
   regionId		ACR インスタンスのリージョン ID。リージョン ID は Container Registry コンソールで取得できます。 重要 このパラメーターは、リージョン間でイメージをプルする場合に必要です。
   domains		シークレットフリープラグインが ACR インスタンスへのアクセスに使用するドメイン名。デフォルトでは、指定された ACR インスタンスのすべてのドメイン名 (パブリックおよび VPC) が使用されます。個別のドメイン名を指定するには、コンマ (,) で区切ります。
   アカウント間でのイメージのプルに関する設定 これは、アカウント間でイメージをプルするシナリオに適用されます。この要件がない場合は、フィールドを空のままにします。	assumeRoleARN	同一アカウント内でのイメージのプルには不要です。アカウント間でイメージをプルする場合、詳細については、「アカウント間でのイメージのプル」をご参照ください。
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   コンポーネント設定

   設定項目	説明
   RRSA の有効化	これを選択して RRSA を有効にします。これは、同一アカウント内でのイメージのプルには不要です。アカウント間でイメージをプルする場合、詳細については、「アカウント間でのイメージのプル」をご参照ください。
   watchNamespace	シークレットなしでイメージをプルする名前空間。デフォルト値は default です。値 all はすべての名前空間を意味します。複数の名前空間を指定するには、コンマ (,) で区切ります。ビジネス用の名前空間を設定することをお勧めします。システムコンポーネントイメージのプルに関する問題を避けるため、all またはシステムコンポーネントに関連する名前空間の設定は避けてください。
   serviceAccount	マネージドシークレットフリーコンポーネントが適用されるサービスアカウント。デフォルト値は Default です。値 Default は、指定されたすべての名前空間のデフォルトのサービスアカウントに適用されます。アスタリスク (*) は、指定された名前空間のすべてのサービスアカウントに適用されます。複数のサービスアカウントを設定するには、コンマ (,) で区切ります。
   expiringThreshold	コンポーネントの資格情報の有効期限のしきい値。デフォルト値は 15m です。15 分を使用することをお勧めします。コンポーネントは、資格情報が期限切れになる 15 分前に自動的に更新します。
   notifyEmail	設定は不要です。

ステップ 2: イメージのプル

シークレットフリーコンポーネントをインストールして設定した後、ワークロードを作成するときにコンポーネントに関連付けられているサービスアカウントを指定します。これにより、シークレットなしでイメージをプルできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # シークレットフリーコンポーネントに関連付けられているサービスアカウントを指定します。
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

ステップ 1: コンポーネントのインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. クラスター ページで、目的のクラスターを見つけてその名前をクリックします。左側のペインで、[操作] > [アドオン] を選択します。

3. [アドオン] ページで、[セキュリティ] タブをクリックします。[aliyun-acr-credential-helper] を見つけて、[インストール] をクリックします。

4. [パラメーター] ページで、[tokenMode] ドロップダウンリストからコンポーネントの権限モードを選択し、[OK] をクリックします。コンポーネントがインストールされたら、イメージをプルする前に設定します。詳細については、「ステップ 2: コンポーネント設定の変更 (ACR インスタンスの追加)」をご参照ください。

   tokenMode	説明
   auto	(推奨) コンポーネントはクラスターの作成時間を検出し、権限モードを自動的に決定します。2023 年 4 月 3 日より前に作成されたクラスターの場合、workerRole モードが使用されます。2023 年 4 月 3 日以降に作成されたクラスターの場合、managedRole モードが使用されます。 重要 2023 年 4 月 3 日以降にリリースされた aliyun-acr-credential-helper のバージョンでは、コンポーネントが依存する RAM ロールをカスタマイズするための設定項目が提供されています。詳細については、「[製品変更] aliyun-acr-credential-helper が依存する権限の変更に関するお知らせ」をご参照ください。
   managedRole	コンポーネントは、「前提条件」セクションで権限が付与されている AliyunCSManagedAcrRole ロールを使用して権限を取得します。
   workerRole	コンポーネントは、クラスターのワーカー RAM ロールを使用して権限を取得します。ワーカー RAM ロールに特定の権限を付与する必要があります。 コンポーネントモードとして workerRole を選択 権限モードとして workerRole を選択する場合、クラスターのワーカー RAM ロールには次の権限が必要です。権限を付与する方法の詳細については、「RAM ロールに権限を付与する」をご参照ください。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 ロールの偽装を使用してアカウント間でイメージをプルするには、このモードを選択します。

ステップ 2: コンポーネント設定の変更 (ACR インスタンスの追加)

シークレットフリーコンポーネントがインストールされた後、イメージをプルする前に、[acr-configuration] ConfigMap を設定して ACR インスタンスを追加する必要があります。これは、コンソールまたは kubectl を使用して実行できます。

ステップ 3: イメージのプル

シークレットフリーコンポーネントをインストールして設定した後、ワークロードを作成するときにコンポーネントに関連付けられているサービスアカウントを指定します。これにより、シークレットなしでイメージをプルできます。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # シークレットフリーコンポーネントに関連付けられているサービスアカウントを指定します。
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # ACR イメージのアドレスを指定します。
        ports:
        - containerPort: 80

シークレットフリーコンポーネントを設定してもイメージのプルが失敗する

シークレットフリーコンポーネントの設定が正しくないために、イメージのプルが失敗することがあります。例:

• シークレットフリーコンポーネントのインスタンス情報が ACR インスタンスと一致しない。

• イメージのプルに使用されるイメージアドレスが、コンポーネントのインスタンス情報のドメイン名と一致しない。

このトピックの手順に従って問題をトラブルシューティングしてください。

コンポーネントが正しく設定されているにもかかわらずプルが失敗する場合、ワークロード YAML に手動で入力された imagePullSecrets フィールドとシークレットフリーコンポーネントとの間に競合がある可能性があります。この問題を解決するには、手動で imagePullSecrets フィールドを削除し、その後 Pod を削除して再作成します。

imagePullSecrets の使用方法

2024 年 9 月 9 日以降に作成された ACR Personal Edition インスタンスは、シークレットフリーコンポーネントをサポートしていません。新しい ACR Personal Edition インスタンスの場合、ユーザー名とログインパスワードを Secret に保存し、それを imagePullSecrets フィールドで使用することをお勧めします。

kubectl create secret generic image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 前のステップで作成した Secret を使用します
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # ACR リンクに置き換えます