Container Registry:パスワードレスコンポーネントを使用したクロスアカウントイメージプル

A アカウント で、ACK クラスターの RRSA 機能を有効化し、ロールを偽装する権限を持つ RAM ロールを作成します。

1. ACK クラスターの RRSA 機能を有効化します。

   1. [ACK コンソール] にログインします。左側のナビゲーションウィンドウで、[クラスターリスト] をクリックします。

   2. [クラスターリスト] ページで、対象のクラスター名をクリックします。左側のナビゲーションウィンドウで、[クラスター情報] をクリックします。

   3. [基本情報] タブの [セキュリティと監査] セクションで、[RRSA OIDC] の横にある [有効にする] をクリックします。

   4. [RRSA の有効化] ダイアログボックスで、[OK] をクリックします。

      [基本情報] セクションで、クラスターのステータスが [更新中] から [実行中] に変化するまで待ちます。ステータスが [実行中] になったら、RRSA が有効化されています。

   5. クラスターの RRSA が有効化されたら、[基本情報] タブの [セキュリティと監査] セクションで、RRSA OIDC の右側にある [有効] にカーソルを合わせて、OIDC プロバイダーの URL および ARN を確認します。

2. 次の JSON を使用して信頼ポリシーを編集し、OIDC プロバイダー用の RAM ロールを作成します。

   • <oidc_issuer_url> を、前のステップで取得したクラスターの OIDC プロバイダー URL に置き換えます。

   • <oidc_provider_arn> を、前のステップで取得したクラスターの OIDC プロバイダー ARN に置き換えます。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. AliyunSTSAssumeRoleAccess ポリシーを RAM ロールにアタッチして、他のロールを偽装する権限を付与し、RAM ロールの ARN を記録します。詳細については、「RAM ロールへの権限付与」をご参照ください。

   1. RAM ロールの詳細ページで、[権限付与] タブをクリックし、[新規権限] をクリックします。

   2. [新規権限] パネルの [ポリシー] セクションで、[AliyunSTSAssumeRoleAccess] ポリシーを検索して選択し、[Grant permissions] をクリックします。

   3. RAM ロールの詳細ページで、[基本情報] セクションに移動して RAM ロールの ARN を確認し、記録します。詳細については、「RAM ロールの ARN の確認」をご参照ください。

A アカウント で、クラスターの Worker RAM ロールを確認し、他のロールを偽装する権限を付与します。

1. [ACK コンソール] にログインします。左側のナビゲーションウィンドウで、[クラスターリスト] をクリックします。

2. [クラスターリスト] ページで、対象のクラスター名をクリックします。左側のナビゲーションウィンドウで、[クラスター情報] をクリックします。

3. [Cluster Information] ページで、[基本情報] タブをクリックします。[クラスターリソース] セクションで、[Worker RAM ロール] の右側にあるリンクをクリックします。

4. AliyunSTSAssumeRoleAccess ポリシーを RAM ロールにアタッチして、他のロールを偽装する権限を付与し、RAM ロールの ARN を記録します。詳細については、「RAM ロールへの権限付与」をご参照ください。

   1. RAM ロールの詳細ページで、[権限付与] タブをクリックし、[新規権限] をクリックします。

   2. [新規権限] パネルの [ポリシー] セクションで、[AliyunSTSAssumeRoleAccess] ポリシーを検索して選択し、[Grant permissions] をクリックします。

   3. RAM ロールの詳細ページで、[基本情報] セクションに移動して RAM ロールの ARN を確認し、記録します。詳細については、「RAM ロールの ARN の確認」をご参照ください。

A アカウント で、ACK クラスターのパスワードレスコンポーネントをインストールし、構成を変更します。

1. [ACK コンソール] にログインします。左側のナビゲーションウィンドウで、[クラスターリスト] をクリックします。

2. [クラスターリスト] ページで、対象のクラスター名をクリックします。左側のナビゲーションウィンドウで、[アドオン管理] をクリックします。

3. [アドオン管理] ページで、[セキュリティ] タブをクリックし、[aliyun-acr-credential-helper] コンポーネントを検索して、[インストール] をクリックします。表示されたダイアログボックスで、tokenMode を workerRole に設定し、[OK] をクリックします。

   

4. パスワードレスコンポーネントの ConfigMap を変更します。

   1. 左側のナビゲーションウィンドウで、[設定 > ConfigMap] を選択します。

   2. [ConfigMap] ページの上部にある [名前空間] ドロップダウンリストで [kube-system] を選択します。次に、[acr-configuration] を検索して、[操作] 列の [YAML の編集] をクリックします。以下の例に基づいて構成を変更します。

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition インスタンスの ID。
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition インスタンスのリージョン ID。
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition インスタンスのアクセスドメイン名。
              assumeRoleARN: "<ARN of the RAM role created in Account B>"
              expireDuration: 3600                                     # B アカウントの RAM ロールの最大セッション期間。デフォルト値は 3600 です。