Elastic Container Instance:シークレットを使用しない ACR イメージのプル

ACR インスタンスと ECI リソースが同じ Alibaba Cloud アカウントにある場合、Personal Edition インスタンスおよびデフォルトのドメイン名を使用する Enterprise Edition インスタンスでは、シークレット不要のアクセスがデフォルトで有効になっています。オプションで Resource Access Management (RAM) ロールを設定して、このアクセスを、特定の ACR インスタンスからのプルのみを許可するように制限することができます。

この設定は 2 つのステップで構成されます。

ステップ 1：RAM ロールの作成と認可

1. 信頼された Alibaba Cloud サービス用の RAM ロールを作成します。詳細については、「信頼された Alibaba Cloud サービス用の RAM ロールを作成する」をご参照ください。

   次のパラメーターに注意してください：

   • プリンシパルタイプ： Cloud Service

   • プリンシパル名： Elastic Container Instance

   • ロール名： acr-test (例)

2. カスタム権限ポリシーを作成します。詳細については、「カスタム権限ポリシーの作成」をご参照ください。

   次のポリシーでは、指定された ACR インスタンスからのイメージプルのみが許可されます。権限ポリシーの記述方法の詳細については、「ポリシー要素」をご参照ください。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. カスタム権限ポリシーを RAM ロールにアタッチします。詳細については、「RAM ロールへの権限付与」をご参照ください。

4. 新しい acr-test ロールを見つけてその名前をクリックし、詳細ページを開きます。権限を確認し、ARN を取得します。

   [基本情報] セクションで、[ARN] フィールド (acs:ram:::role/acr-test の形式) を見つけ、その横にあるコピーボタンをクリックします。[権限] タブで、カスタムポリシー acr がアタッチされていることを確認します。

ステップ 2：RAM ロールの指定

CreateContainerGroup API を呼び出して ECI インスタンスを作成するか、CreateImageCache API を呼び出してイメージキャッシュを作成するときに、AcrRegistryInfo.N.ArnService パラメーターを設定して、リソースの作成に使用する RAM ロールを指定します。パラメーターの詳細は次の表のとおりです。詳細については、「CreateContainerGroup」および「CreateImageCache」をご参照ください。

次の例は、OpenAPI を介してパラメーターを渡し、ECI インスタンスを作成する方法を示しています：

ContainerGroupName=test-acr
# コンテナ
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
# AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

ステップ 1：RAM ロールの作成と認可

1. ECI リソースを所有するアカウント A で、RAM ロールを作成し、認可します。

   1. 信頼された Alibaba Cloud サービス用の RAM ロールを作成します。詳細については、「信頼された Alibaba Cloud サービス用の RAM ロールを作成する」をご参照ください。

      次のパラメーターに注意してください：

      • プリンシパルタイプ： Cloud Service

      • プリンシパル名： Elastic Container Instance

      • ロール名： role-assume (例)

   2. role-assume に、Security Token Service (STS) の AssumeRole API を呼び出す権限を付与します。詳細については、「RAM ロールへの権限付与」をご参照ください。

      AliyunSTSAssumeRoleAccess システムポリシーをアタッチします。

   3. 新しく作成された role-assume ロールを見つけ、その名前をクリックして詳細ページに移動し、権限と信頼ポリシーを確認して ARN を取得します。

      • 権限と ARN

        RAM ロールの ARN は acs:ram::<AccountID>:role/role-assume です。このロールには、STS の AssumeRole API を呼び出すことを許可する AliyunSTSAssumeRoleAccess システムポリシーが付与されています。

      • 信頼ポリシー

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. ACR インスタンスを所有するアカウント B で、RAM ロールを作成し、認可します。

   1. 信頼された Alibaba Cloud アカウント用の RAM ロールを作成します。詳細については、「信頼された Alibaba Cloud アカウント用の RAM ロールを作成する」をご参照ください。

      次のパラメーターに注意してください：

      • プリンシパルタイプ： Alibaba Cloud Account

      • プリンシパル名： Other Alibaba Cloud Account。ECI リソースを所有するアカウント A の ID を入力します。

      • ロール名： role-acr (例)

   2. role-acr に、ACR イメージをプルする権限を付与します。詳細については、「RAM ロールへの権限付与」をご参照ください。

      AliyunContainerRegistryFullAccess システムポリシーをアタッチします。

   3. 信頼ポリシーを変更して、role-assume ロールが role-acr ロールを引き受けることを許可します。詳細については、「RAM ロールの信頼ポリシーの変更」をご参照ください。

      デフォルトでは、role-acr ロールはアカウント A の任意の認可された RAM ユーザーまたは RAM ロールによって引き受けることができます。正確な認可のために、信頼ポリシーを変更することを推奨します。

      Principal セクションで、RAM フィールドの値を role-assume ロールの ARN に変更します。これにより、role-assume ロールのみが role-acr ロールを引き受けることができるようになります。例：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 権限と信頼ポリシーを確認し、ARN を取得します。

      • 権限と ARN

        role-acr ロールの ARN は acs:ram::<AccountID>:role/role-acr です。コピーボタンをクリックして値をコピーできます。[権限] タブで、AliyunContainerRegistryFullAccess システムポリシーがアタッチされていること、およびリソーススコープがアカウントレベルであることを確認します。

      • 信頼ポリシー

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::1609982529******:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

ステップ 2：RAM ロールの指定

CreateContainerGroup または CreateImageCache API を呼び出すときに、AcrRegistryInfo パラメーターを設定して、別の Alibaba Cloud アカウントの ACR インスタンスを指定できます。次の点に注意してください：

• ACR インスタンスが別の Alibaba Cloud アカウントに属している場合は、ArnService および ArnUser パラメーターを設定して、権限設定用の RAM ロールを指定する必要があります。

• ACR Enterprise Edition インスタンスがカスタムドメイン名を使用する場合は、InstanceId パラメーターも設定する必要があります。

詳細については、「CreateContainerGroup」および「CreateImageCache」をご参照ください。

次の例は、OpenAPI を介してパラメーターを渡し、ECI インスタンスを作成する方法を示しています：

ContainerGroupName=test-acr
# コンテナ
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
# AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.1.ArnUser=acs:ram::1298452580******:role/role-acr