Container Service for Kubernetes:Pull de imagens de uma instância do ACR Enterprise Edition na mesma conta usando o add-on sem credenciais

Etapa 1: Instale o add-on

1. Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

3. Na página Add-ons, clique na guia Security, localize o cartão aliyun-acr-credential-helper (managed) e clique em Install.

4. Na página Install add-on aliyun-acr-credential-helper, visualize as configurações de AcrInstanceInfo e outras opções. AcrInstanceInfo contém as configurações para cada instância do ACR associada ao add-on. As outras opções são configurações do add-on. Se você não precisar alterar os namespaces ou ServiceAccounts que o add-on monitora, poderá manter as configurações padrão.

   Após a instalação do add-on, você pode alterar suas configurações clicando em Configurations no cartão aliyun-acr-credential-helper (managed) na página Add-ons .

   Configurações de associação de instância do ACR:

   AcrInstanceInfo		Descrição
   InstanceId		O id da instância do ACR. Você pode obter o id no console do Container Registry. Importante Deixe este campo em branco para instâncias do ACR Personal Edition. Este campo é obrigatório para instâncias do ACR Enterprise Edition.
   regionId		O id da região onde a instância do ACR está implantada. Você pode obter o id no console do Container Registry. Importante Este parâmetro é obrigatório para o pull de imagens entre regiões.
   domains		Os nomes de domínio usados pelo add-on sem credenciais para acessar a instância do ACR. Por padrão, isso inclui todos os nomes de domínio (internet e VPC) da instância do ACR especificada. Para especificar vários nomes de domínio, separe-os por vírgulas (,).
   Configurações para pull de imagens entre contas Essas configurações se aplicam ao pull de imagens entre contas. Se você não precisar desse recurso, deixe os campos em branco.	assumeRoleARN	Nenhuma configuração é necessária para o pull na mesma conta. Para o pull entre contas, consulte Pull images across accounts.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Configurações do add-on

   Parâmetro	Descrição
   Enable RRSA	Selecione esta caixa de seleção para ative o RRSA. Nenhuma configuração é necessária para o pull na mesma conta. Para o pull entre contas, consulte Pull images across accounts.
   watchNamespace	Os namespaces onde você deseja ative o pull de imagens sem credenciais. O valor padrão é default. Defina o valor como all para ative esse recurso para todos os namespaces. Para especificar vários namespaces, separe-os por vírgulas (,). Recomendamos que você especifique apenas seus namespaces de negócios e evite usar all ou namespaces para componentes do sistema do cluster para evitar interrupções no pull de imagens do sistema.
   serviceAccount	Especifica o ServiceAccount ao qual o add-on sem credenciais gerenciado se aplica. O valor padrão é Default. O valor Default aplica o add-on ao ServiceAccount padrão nos namespaces especificados. Se você definir o valor como *, o add-on se aplicará a todos os ServiceAccounts nos namespaces especificados. Para especificar vários ServiceAccounts, separe-os por vírgula (,).
   expiringThreshold	O limiar de expiração para credenciais no add-on. O valor padrão é 15m.
   notifyEmail	Nenhuma configuração é necessária.

Etapa 2: Fazer o pull de uma imagem

Após instalar e configurar o add-on sem credenciais, especifique um ServiceAccount associado ao add-on ao criar um workload. Isso ativa o pull de imagens sem credenciais.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Etapa 1: Instale o add-on

1. Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

3. Na página Add-ons, clique na guia Security, localize o cartão aliyun-acr-credential-helper e clique em Install.

4. Na página Parameters, selecione um modo de permissão na lista suspensa tokenMode e clique em OK. Após a instalação do add-on, você precisa configurar o ConfigMap antes de poder fazer o pull de imagens. Para mais informações, consulte Step 2: Update the add-on configuration (add an ACR instance).

   tokenMode	Descrição
   auto	(Recomendado) O add-on detecta o horário de criação do cluster e escolhe automaticamente um modo de permissão. Clusters criados antes de 3 de abril de 2023 usam o modo workerRole. Clusters criados em ou após 3 de abril de 2023 usam o modo managedRole. Importante As versões do aliyun-acr-credential-helper lançadas em ou após 3 de abril de 2023 fornecem um parâmetro que permite personalizar a função RAM da qual o add-on depende. Para mais informações, consulte [Product Change] Announcement on changing the permissions required by the aliyun-acr-credential-helper add-on.
   managedRole	O add-on usa a função AliyunCSManagedAcrRole autorizada em Prerequisites para obter permissões.
   workerRole	O add-on usa a função RAM de worker do cluster para obter permissões. Você precisa conceder permissões específicas à função RAM de worker. Selecione workerRole como o modo do add-on Se você selecione workerRole como o modo de permissão do add-on, a função RAM de worker do cluster deverá ter as seguintes permissões. Para obter informações sobre como conceder permissões, consulte Manage RAM role permissions. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Importante Selecione este modo se precisar fazer o pull de imagens entre contas assumindo uma função.

Etapa 2: Atualize a configuração do add-on

Após a instalação do add-on sem credenciais, configure o ConfigMap acr-configuration para adicionar uma instância do ACR antes de poder fazer o pull de imagens. Você pode fazer isso usando o console ou o kubectl.

Etapa 3: Fazer o pull de uma imagem

Após instalar e configurar o add-on sem credenciais, especifique um ServiceAccount associado ao add-on ao crie um workload. Isso ativa o pull de imagens sem credenciais.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

Ative o uso imediato de ServiceAccounts

Quando ativado, o add-on sem credenciais usa um Webhook para monitorar alterações do ServiceAccount no cluster. Quando um novo ServiceAccount é criado, o add-on injeta imediatamente o Secret sem credenciais. Isso é útil para cenários em que um ServiceAccount é usado imediatamente após a criação, como quando um Helm Chart cria um ServiceAccount e um Deployment simultaneamente. Este recurso pode afetar o desempenho do add-on e não é recomendado para uso geral.

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10

Solucionar problemas de falhas no pull de imagens

Uma possível causa é uma configuração incorreta do add-on sem credenciais, por exemplo:

• As informações da instância configuradas no add-on sem credenciais não correspondem à instância do ACR.

• O endereço da imagem usado para o pull não corresponde ao nome de domínio especificado nas informações da instância do add-on.

Siga as etapas neste tópico para solucionar o problema.

Se o add-on estiver configurado corretamente, mas o pull da imagem ainda falhar, isso pode ser devido a um conflito entre um campo imagePullSecrets especificado manualmente no YAML do workload e o add-on sem credenciais. Para resolver isso, remova manualmente o campo imagePullSecrets e recrie o Pod.

Como uso imagePullSecrets?

As instâncias do ACR Personal Edition criadas em ou após 9 de setembro de 2024 não suportam o add-on sem credenciais. Para essas instâncias, recomendamos que você armazene o nome de usuário e a senha em um Secret e faça referência a ele no campo imagePullSecrets.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Use the Secret created in the previous step.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Replace with the ACR image address.