Container Registry:シークレットフリーコンポーネントを使用してアカウント間でイメージをプルする

アカウント A で、ACK クラスタの RRSA 機能を有効にし、ロールを引き受ける権限を持つ RAM ロールを作成します。

1. ACK クラスタの RRSA 機能を有効にします。

   1. ACK コンソール にログインします。 左側のナビゲーションウィンドウで、[クラスタ] をクリックします。

   2. [クラスタ] ページで、ターゲットクラスタを見つけ、その名前をクリックします。 左側のナビゲーションウィンドウで、[クラスタ情報] をクリックします。

   3. [セキュリティと監査] セクションの [基本情報] タブで、[RRSA OIDC] の横にある [有効化] をクリックします。

   4. [RRSA の有効化] ダイアログボックスで、[確認] をクリックします。

      [基本情報] セクションで、クラスタステータスが [更新中] から [実行中] に変わると、クラスタの RRSA 機能が有効になります。

   クラスタの RRSA 機能が有効になったら、[基本情報] タブの [セキュリティと監査] セクションに移動します。 [RRSA OIDC] の横にある [有効] ラベルにマウスポインターを合わせると、OIDC プロバイダーの URL と Alibaba Cloud Resource Name (ARN) が表示されます。

2. スクリプトエディターを使用して信頼ポリシーを編集し、OIDC IdP の RAM ロールを作成する。

   • 例の中の <oidc_issuer_url> を、前の手順で取得した現在のクラスタの OIDC IdP の URL に置き換えます。

   • 例の中の <oidc_provider_arn> を、前の手順で取得した現在のクラスタの OIDC IdP の ARN に置き換えます。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. AliyunSTSAssumeRoleAccess ポリシーをロールにアタッチして、ロールを引き受ける権限を付与し、その ARN を記録します。 詳細については、「RAM ロールに権限を付与する」をご参照ください。

   1. ロールの詳細ページで、[権限管理] タブをクリックし、次に [権限の付与] をクリックします。

   2. [権限の付与] パネルの [アクセスポリシー] セクションで、[AliyunSTSAssumeRoleAccess] ポリシーを見つけて選択し、[権限の付与の確認] をクリックします。

   3. ロールの詳細ページの [基本情報] セクションで、RAM ロールの ARN を見つけて記録します。 詳細については、「RAM ロールの ARN を表示するにはどうすればよいですか？」をご参照ください。

アカウント A で、クラスタの Worker RAM ロールを表示し、ロールを引き受ける権限を付与します。

1. ACK コンソール にログインします。 左側のナビゲーションウィンドウで、[クラスタ] をクリックします。

2. [クラスタ] ページで、ターゲットクラスタを見つけ、その名前をクリックします。 左側のナビゲーションウィンドウで、[クラスタ情報] をクリックします。

3. [クラスタ情報] ページで、[基本情報] タブをクリックします。 [クラスタリソース] セクションで、[Worker RAM ロール] の右側のリンクをクリックします。

4. AliyunSTSAssumeRoleAccess ポリシーをロールにアタッチして、ロールを引き受ける権限を付与し、その ARN を記録します。 詳細については、「RAM ロールに権限を付与する」をご参照ください。

   1. ロールの詳細ページで、[権限管理] タブをクリックし、次に [権限の付与] をクリックします。

   2. [権限の付与] パネルの [アクセスポリシー] セクションで、[AliyunSTSAssumeRoleAccess] ポリシーを見つけて選択し、[権限の付与の確認] をクリックします。

   3. ロールの詳細ページの [基本情報] セクションで、RAM ロールの ARN を見つけて記録します。 詳細については、「RAM ロールの ARN を表示するにはどうすればよいですか？」をご参照ください。

アカウント A で、ACK クラスタのシークレットフリーコンポーネントをインストールし、その設定項目を変更します。

1. ACK コンソール にログインします。 左側のナビゲーションウィンドウで、[クラスタ] をクリックします。

2. [クラスタ] ページで、目的のクラスタを見つけて名前をクリックします。 左側のウィンドウで、[操作] > [アドオン] を選択します。

3. [コンポーネント管理] ページで、[セキュリティ] タブをクリックし、[aliyun-acr-credential-helper] コンポーネントを見つけ、[インストール] をクリックします。 表示されるダイアログボックスで、[tokenMode] オプションを [workerRole] に設定し、[OK] をクリックします。

   

4. シークレットフリーコンポーネントの ConfigMap 設定項目を変更します。

   1. 左側のナビゲーションウィンドウで、[構成管理] > [ConfigMap] を選択します。

   2. [設定項目] ページで、[名前空間] ドロップダウンリストから [kube-system] を選択します。 次に、[acr-configuration] の [アクション] 列の [YAML 編集] をクリックして、次の例に示すように構成を変更します。

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email:"c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition インスタンスの ID。
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition インスタンスのリージョン ID。
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition インスタンスのエンドポイント。
              assumeRoleARN: "<アカウント B で作成されたロールの ARN>"
              expireDuration: 3600                                     # アカウント B の RAM ロールの最大セッション時間。 デフォルト値は 3600 です。