Elastic Container Instance:シークレットを使用せずに Container Registry インスタンスからイメージをプルする

Elastic Container Instance などの作成対象のリソースと Container Registry インスタンスが同じ Alibaba Cloud アカウントに属し、Container Registry インスタンスがデフォルトドメイン名を使用する Enterprise Edition インスタンスまたは個人版インスタンスである場合、デフォルトで Container Registry インスタンスに対してシークレット不要のイメージプルが有効になります。この場合、ビジネス要件に基づいて RAM ロールを構成し、シークレット不要のイメージプルをサポートする Container Registry インスタンスの範囲を制限できます。たとえば、シークレット不要のイメージプルをサポートする Container Registry インスタンスを 1 つだけ指定できます。

手順：

ステップ 1： RAM ロールを作成し、RAM ロールに権限を付与する

1. 信頼できる Alibaba Cloud サービスの RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud サービスの RAM ロールを作成する」をご参照ください。

   次のパラメータに注意してください。

   • プリンシパルタイプ： クラウドサービス

   • プリンシパル名： Elastic Container Instance

   • RAM ロールの名前： 例： acr-test。

2. カスタム権限ポリシーを作成します。詳細については、「カスタムポリシーを作成する」をご参照ください。

   次の例は、ポリシーの内容を示しています。これは、指定された Container Registry インスタンス内のイメージのみをプルできることを示しています。ポリシーの記述方法の詳細については、「ポリシー要素」をご参照ください。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****" // 指定された Container Registry インスタンス
               ]
           }
       ]
   }

3. カスタムポリシーを RAM ロールにアタッチします。詳細については、「RAM ロールに権限を付与する」をご参照ください。

4. 作成した acr-test ロールを見つけます。ロール名をクリックして詳細ページに移動します。権限を確認し、RAM ロールの Alibaba Cloud リソースネーム（ARN）を取得します。

   

ステップ 2： ステップ 1 で作成した RAM ロールを指定してリソースを作成する

CreateContainerGroup API 操作を呼び出して Elastic Container Instance を作成するか、CreateImageCache API 操作を呼び出してイメージキャッシュを作成する場合、AcrRegistryInfo.N.ArnService パラメータを使用して、リソースの作成に使用する RAM ロールを指定できます。次の表でパラメータについて説明します。詳細については、「CreateContainerGroup」および「CreateImageCache」をご参照ください。

たとえば、Elastic Container Instance を作成する場合、OpenAPI で次のパラメータを指定できます。

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

ステップ 1： RAM ロールを作成し、RAM ロールに権限を付与する

1. Elastic Container Instance などの作成対象のリソースが属するアカウント A に RAM ロールを作成し、RAM ロールに権限を付与します。

   1. 信頼できる Alibaba Cloud サービスの RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud サービスの RAM ロールを作成する」をご参照ください。

      次のパラメータに注意してください。

      • プリンシパルタイプ： クラウドサービス

      • プリンシパル名： Elastic Container Instance

      • RAM ロールの名前： 例： role-assume。

   2. role-assume ロールに、セキュリティトークンサービス（STS）の AssumeRole API 操作を呼び出す権限を付与します。詳細については、「RAM ロールに権限を付与する」トピックの「方法 2： ロールのページで入力とアタッチをクリックして RAM ロールに権限を付与する」セクションをご参照ください。

      ポリシータイプをシステムポリシーに設定し、ポリシー名を AliyunSTSAssumeRoleAccess に設定します。

   3. 作成した role-assume ロールを見つけます。ロール名をクリックして詳細ページに移動します。権限と信頼ポリシーを確認し、role-assume の ARN を取得します。

      • 権限と ARN

        

      • 信頼ポリシー

        

2. Container Registry インスタンスが属するアカウント B に RAM ロールを作成し、RAM ロールに権限を付与します。

   1. 信頼できる Alibaba Cloud アカウントの RAM ロールを作成します。詳細については、「信頼できる Alibaba Cloud アカウントの RAM ロールを作成する」をご参照ください。

      次のパラメータに注意してください。

      • プリンシパルタイプ： クラウドアカウント

      • プリンシパル名： 別のアカウント。作成対象のリソース（Elastic Container Instance など）が属するアカウント A を入力します。

      • RAM ロールの名前： 例： role-acr。

   2. role-acr ロールに、Container Registry インスタンスからイメージをプルする権限を付与します。詳細については、「RAM ロールに権限を付与する」トピックの「方法 2： ロールのページで入力とアタッチをクリックして RAM ロールに権限を付与する」セクションをご参照ください。

      ポリシータイプをシステムポリシーに設定し、ポリシー名を AliyunContainerRegistryFullAccess に設定します。

   3. 信頼ポリシーを編集して、role-acr が role-assume によって信頼されるようにします。詳細については、「RAM ロールの信頼ポリシーを編集する」をご参照ください。

      デフォルトでは、role-acr ロールはアカウント A のすべての RAM ユーザーと RAM ロールによってアタッチできます。信頼ポリシーを編集して、アカウント A の必要な RAM ユーザーと RAM ロールにのみ権限を付与することをお勧めします。

      Principal 要素で、RAM フィールドの値を role-assume の ARN に変更します。これは、role-acr ロールが role-assume によってのみアタッチできることを示しています。例：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 権限と信頼ポリシーを確認し、role-acr の ARN を取得します。

      • 権限と ARN

        

      • 信頼ポリシー

        

ステップ 2： ステップ 1 で作成した RAM ロールを指定してリソースを作成する

CreateContainerGroup API 操作を呼び出して Elastic Container Instance を作成するか、CreateImageCache API 操作を呼び出してイメージキャッシュを作成する場合、AcrRegistryInfo 関連のパラメータを構成して、作成対象のリソースのアカウントとは異なる Alibaba Cloud アカウントの Container Registry インスタンスを指定できます。次の項目に注意してください。

• Container Registry インスタンスが、作成対象のリソースのアカウントとは異なる Alibaba Cloud アカウントに属している場合、ArnService と ArnUser を設定して権限構成の RAM ロールを指定する必要があります。

• Container Registry インスタンスがカスタムドメイン名を使用する Enterprise Edition インスタンスである場合、InstanceId を設定して Container Registry インスタンスを指定する必要があります。

詳細については、「CreateContainerGroup」および「CreateImageCache」をご参照ください。

たとえば、Elastic Container Instance を作成する場合、OpenAPI で次のパラメータを指定できます。

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.N.ArnUser=acs:ram::1298452580******:role/role-acr