Container Registry:アカウント間でのイメージのプル

RRSA の使用

アカウント A の ACK クラスターで、特定の ServiceAccount が認証情報なしでイメージをプルする権限を持つアカウント B の RAM ロールを借用するように設定します。これにより、ACK クラスターはアカウント B のプライベートイメージにアクセスしてプルできます。

1. アカウント A で、ACK クラスターの RRSA 機能を有効にし、ロールを借用する権限を持つ RAM ロールを作成します。

   1. ACK クラスターの RRSA 機能を有効にします。

      1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

      2. クラスター ページで、対象のクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、クラスター情報 をクリックします。

      3. [基本情報] タブの [セキュリティと監査] セクションで、[RRSA OIDC] の横にある [有効化] をクリックします。

      4. [RRSA の有効化] ダイアログボックスで、[確認] をクリックします。

         [基本情報] セクションで、クラスターのステータスが [更新中] から [実行中] に変わると、クラスターの RRSA 機能が有効になります。

      5. クラスターの RRSA 機能が有効になった後、[基本情報] タブの [セキュリティと監査] セクションに移動します。マウスを [RRSA OIDC] の横にある [有効] ラベルに合わせると、OIDC プロバイダーの URL と Alibaba Cloud リソースネーム (ARN) が表示されます。

   2. スクリプトエディターを使用して信頼ポリシーを編集し、OIDC IdP の RAM ロールを作成します。

      • 例の <oidc_issuer_url> を、前の手順で取得した現在のクラスターの OIDC プロバイダー URL に置き換えます。

      • 例の <oidc_provider_arn> を、前の手順で取得した現在のクラスターの OIDC プロバイダー ARN に置き換えます。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   3. AliyunSTSAssumeRoleAccess ポリシーをロールにアタッチして、ロールを借用する権限を付与し、その ARN を記録します。詳細については、「RAM ロールの権限を管理する」をご参照ください。

      1. ロールの詳細ページで、[権限] タブをクリックし、[権限を付与] をクリックします。

      2. [権限を付与] パネルの [アクセスポリシー] セクションで、AliyunSTSAssumeRoleAccess アクセスポリシーを選択し、[OK] をクリックします。

      3. ロールの詳細ページの [基本情報] セクションで、RAM ロールの ARN を表示して記録します。詳細については、「RAM ロールの ARN を表示する方法」をご参照ください。

2. アカウント B で、RAM ロールを作成し、プライベートイメージをプルする権限を付与し、アカウント A の RAM ロールがこのロールを借用できるようにします。

   1. スクリプトエディターを使用して信頼ポリシーを編集し、信頼できる Alibaba Cloud アカウントの RAM ロールを作成して、アカウント A がロールを借用できるようにします。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created in Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 次の内容でカスタムポリシーを作成し、ポリシーを RAM ロールに付与します。これにより、ロールにインスタンス情報を取得し、イメージをプルする権限が付与されます。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. RAM ロールの最大セッション期間を設定します。値は 3,600 秒から 43,200 秒の間です。デフォルト値は 3,600 秒です。

      この値が、後で設定する expireDuration パラメーターの値と同じであることを確認してください。expireDuration の値は、最大セッション期間を超えてはなりません。

   4. ロールの詳細ページの [基本情報] セクションから RAM ロールの ARN を記録します。

3. アカウント A で、ACK クラスターにパスワードレスコンポーネントをインストールし、その設定項目を変更します。

   コンポーネントの違いの詳細については、「パスワードレスコンポーネントの比較」をご参照ください。

   aliyun-acr-credential-helper マネージドコンポーネント

   1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

   2. クラスター ページで、目的の クラスター を見つけてその名前をクリックします。左 ナビゲーションウィンドウで、[アドオン] をクリックします。

   3. 「アドオン」ページで、「セキュリティ」タブを選択します。「Aliyun-acr-credential-helper (管理対象)」カードを見つけ、「インストール」をクリックします。

   4. [Aliyun-acr-credential-helper パラメーター設定] ダイアログボックスで、[RRSA が有効] チェックボックスを選択し、[追加] をクリックします。次のパラメーターを入力し、[OK] をクリックします。

      

      関連する ACR Enterprise Edition インスタンスの設定：

      パラメーター	説明	例
      instanceId	ACR インスタンスの ID。複数の ID を指定するには、カンマ (,) で区切ります。	cri-XXXXX
      regionId	ACR インスタンスのリージョン ID。	cn-hangzhou
      domains	ACR インスタンスが使用するドメイン名。ACR インスタンスのすべてのエンドポイント (パブリックおよび VPC) を入力します。個々のドメイン名を指定するには、カンマ (,) で区切ります。	XXXXX-registry.cn-hangzhou.cr.aliyuncs.com
      assumeRoleARN	ACR インスタンス所有者の RAM ロールの ARN。アカウント B で作成した RAM ロールの ARN を入力します。	acs:ram::100XXXXXXXX9630:role/XXXX
      expireDuration	クロスアカウントシナリオにおける一時的な認証情報の有効期間。アカウント B で作成した RAM ロールの最大セッション期間を入力します。	3600
      rrsaRoleARN	ACK クラスター所有者の RAM ロールの ARN。アカウント A で作成した RAM ロールの ARN を入力します。	acs:ram::128XXXXXXXXXX09011:role/XXXX
      rrsaOIDCProviderRoleARN	ACK クラスターの OIDC IdP の ARN。アカウント A の ACK クラスターの RRSA OIDC IdP の ARN を入力します。	acs:ram::128XXXXXXXXXX09011:oidc-provider/ack-rrsa-c8864XXXXXXXXXXXXXXXXXX99356a636

      他のパラメーターの詳細については、「コンポーネント設定」をご参照ください。

   aliyun-acr-credential-helper コンポーネント

   1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

   2. クラスター ページで、目的のクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、[アドオン] をクリックします。

   3. [アプリケーション] ページで、[セキュリティ] タブをクリックします。[aliyun-acr-credential-helper] コンポーネントを見つけて、[インストール] をクリックします。表示されるダイアログボックスで、[tokenMode] オプションを [auto] に設定し、[OK] をクリックします。

      

   4. パスワードレスコンポーネントの ConfigMap を変更します。

      1. 左側のナビゲーションウィンドウで、[設定] > [ConfigMap] を選択します。

      2. [ConfigMap] ページの上部で、[名前空間] ドロップダウンリストから [kube-system] を選択します。次に、[acr-configuration] の [操作] 列で [YAML の編集] をクリックし、次の例のように設定を変更します。

         data:
           service-account: "default"
           watch-namespace: "all"
           expiring-threshold: "15m"
           notify-email: "c*@example.com"
           acr-registry-info: |
             - instanceId: "cri-xxx"                                   # ACR インスタンスの ID。
               regionId: "cn-hangzhou"                                 # ACR インスタンスのリージョン ID。
               domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"   # ACR インスタンスのエンドポイント。
               rrsaRoleARN: "<ARN of the role created in Account A>"
               rrsaOIDCProviderRoleARN: "<The ARN of the OIDC IdP from the basic information page of the ACK cluster in the console for Account A.>"
               assumeRoleARN: "<ARN of the role created in Account B>"
               expireDuration: 3600                                    # アカウント B の RAM ロールの最大セッション期間。デフォルト値は 3600 です。             
           rrsa: |
             enable: true                                              # パスワードレスコンポーネントの RRSA 機能を有効にします。 

Worker RAM ロールの権限借用を使用

アカウント A の ACK クラスターで、クラスターのデフォルトの Worker RAM ロールが、認証情報なしでイメージをプルする権限を持つアカウント B の RAM ロールを借用するように設定します。これにより、ACK クラスターはアカウント B のプライベートイメージにアクセスしてプルできます。

1. アカウント A で、クラスターの Worker RAM ロールを表示し、ロールを借用する権限を付与します。

   1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

   2. クラスター ページで、対象のクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、クラスター情報 をクリックします。

   3. [クラスター情報] ページで、[基本情報] タブをクリックします。[クラスターリソース] エリアで、[Worker RAM ロール] の右側にあるリンクをクリックします。

   4. AliyunSTSAssumeRoleAccess ポリシーをロールにアタッチして、ロールを借用する権限を付与し、その ARN を記録します。詳細については、「RAM ロールの権限を管理する」をご参照ください。

      1. ロールの詳細ページで、[権限] タブをクリックし、[権限を付与] をクリックします。

      2. [権限を付与] パネルの [アクセスポリシー] セクションで、AliyunSTSAssumeRoleAccess アクセスポリシーを選択し、[OK] をクリックします。

      3. ロールの詳細ページの [基本情報] セクションで、RAM ロールの ARN を表示して記録します。詳細については、「RAM ロールの ARN を表示する方法」をご参照ください。

2. アカウント B で、RAM ロールを作成し、プライベートイメージをプルする権限を付与し、アカウント A の ACK クラスターの Worker RAM ロールがこのロールを借用できるようにします。

   1. 信頼できる Alibaba Cloud アカウントの RAM ロールを作成します。

   2. 次の内容でカスタムポリシーを作成し、ポリシーを RAM ロールに付与します。これにより、ロールにインスタンス情報を取得し、イメージをプルする権限が付与されます。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. RAM ロールの基本情報ページで、[信頼ポリシー] タブをクリックし、[信頼ポリシーの編集] をクリックします。ポリシーを次の内容で更新して、アカウント A の ACK クラスターの Worker RAM ロールがアカウント B の RAM ロールを借用できるようにします。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                "<ARN of the role created in Account A>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   4. ロールの詳細ページの [基本情報] セクションで、RAM ロールの ARN を表示して記録します。詳細については、「RAM ロールの ARN を表示する方法」をご参照ください。

3. アカウント A で、ACK クラスターにパスワードレスコンポーネントをインストールし、その設定項目を変更します。

   1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

   2. クラスター ページで、目的のクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、[アドオン] をクリックします。

   3. [アプリケーション] ページで、[セキュリティ] タブをクリックします。[aliyun-acr-credential-helper] コンポーネントを見つけて、[インストール] をクリックします。表示されるダイアログボックスで、[tokenMode] を [workerRole] に設定し、[OK] をクリックします。

      

   4. パスワードレスコンポーネントの ConfigMap を変更します。

      1. 左側のナビゲーションウィンドウで、[設定] > [ConfigMap] を選択します。

      2. [ConfigMap] ページの上部で、[名前空間] ドロップダウンリストから [kube-system] を選択します。次に、[acr-configuration] の [操作] 列で [YAML の編集] をクリックし、次の例のように設定を変更します。

         data:
             service-account: "default"
             watch-namespace: "all"
             expiring-threshold: "15m"
             notify-email: "c*@example.com"
             acr-registry-info: |
               - instanceId: "cri-xxx"                                    # ACR Enterprise Edition インスタンスの ID。
                 regionId: "cn-hangzhou"                                  # ACR Enterprise Edition インスタンスのリージョン ID。
                 domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition インスタンスのエンドポイント。
                 assumeRoleARN: "<ARN of the role created in Account B>"
                 expireDuration: 3600                                     # アカウント B の RAM ロールの最大セッション期間。デフォルト値は 3600 です。

RAM ユーザーの AccessKey ペアの使用

アカウント A の ACK クラスターでは、パスワードレスコンポーネントがアカウント B の RAM ユーザーの AccessKey ID と AccessKey Secret を使用して、アカウント B からプライベートイメージをプルします。この方法は設定が簡単ですが、AccessKey ID と AccessKey Secret がプレーンテキストで保存されるため、セキュリティリスクがあります。

1. アカウント B で RAM ユーザーを作成し、[cr.*] 権限を付与します。

   1. RAM ユーザーを作成します。

   2. 次の内容でカスタムポリシーを作成し、ポリシーを RAM ユーザーに付与します。これにより、RAM ユーザーにインスタンス情報を取得し、イメージをプルする権限が付与されます。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

   3. AccessKey ペアを作成し、AccessKey ID と AccessKey Secret を記録します。

アカウント A で、ACK クラスターにパスワードレスコンポーネントをインストールし、その設定項目を変更します。

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. クラスター ページで、目的のクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、[クラスター情報] をクリックします。

3. ACK クラスターページで、対象のクラスターの名前をクリックします。左側のナビゲーションウィンドウで、Add-ons をクリックします。

4. [アプリケーション] ページで、[セキュリティ] タブをクリックします。[aliyun-acr-credential-helper] コンポーネントを見つけて、[インストール] をクリックします。表示されるダイアログボックスで、[tokenMode] オプションを [auto] に設定し、[OK] をクリックします。

   

5. パスワードレスコンポーネントの ConfigMap を変更します。

   1. 左側のナビゲーションウィンドウで、[設定] > [ConfigMap] を選択します。

   2. 「ConfigMap」ページの上部で、[名前空間] ドロップダウンから [kube-system] を選択します。次に、[acr-configuration] の [YAML の編集] をクリックし、次の例に示すように構成を変更します。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email: "c*@example.com"
       acr-registry-info: |
         - instanceId: ""                        # ACR Enterprise Edition インスタンスの ID。             
           regionId: "cn-hangzhou"               # ACR Enterprise Edition インスタンスのリージョン ID。    
           customAccessKey: "xxxxx"              # アカウント B の RAM ユーザーの AccessKey ID。
           customAccessKeySecret: "xxxxxx"       # アカウント B の RAM ユーザーの AccessKey Secret。