Container Service for Kubernetes:Pull images across accounts with the password-free component

Na Conta A, ative o recurso RRSA para o cluster ACK e crie uma função RAM com permissões de assunção de função.

1. Ative o recurso RRSA para o cluster ACK.

   1. Faça login no console ACK. No painel de navegação à esquerda, clique em Clusters.

   2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

2. Criar uma função RAM para um provedor de identidade OIDC e atualize sua política de confiança com o seguinte conteúdo.

   • Substitua <oidc_issuer_url> pela URL do provedor OIDC obtida na etapa anterior.

   • Substitua <oidc_provider_arn> pelo ARN do provedor OIDC obtido na etapa anterior.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. Anexe a política de permissão AliyunSTSAssumeRoleAccess à função para conceder permissões de assunção de função e registre seu ARN. Para mais informações, consulte Gerenciar permissões para uma função RAM.

   1. Na página de detalhes da função, na aba Authorization, clique em Authorize.

   2. No painel Authorize, em Policies, localize e selecione a política AliyunSTSAssumeRoleAccess e clique em OK.

   3. Na página de detalhes da função, na seção Basic Information, visualize e registre o ARN da função RAM. Para instruções detalhadas, consulte Como visualizo o ARN de uma função RAM?

Na Conta B, crie uma função RAM com permissões para fazer pull de imagens privadas e configure-a para ser assumida pela função RAM da Conta A.

1. Criar uma função RAM para uma conta confiável da Alibaba Cloud. Edite a política de confiança com o script a seguir para permitir a assunção de função pela função da Conta A.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created in Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

2. Crie uma política de permissão personalizada com o seguinte conteúdo e anexe-a à função RAM para conceder permissões de obtenção de informações da instância e pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Defina a duração máxima da sessão para a função RAM com um valor entre 3.600 e 43.200 segundos. O padrão é 3.600 segundos.

   Garanta que este valor corresponda ao parâmetro expireDuration na configuração do componente descrita posteriormente. O valor de expireDuration não pode exceder a duração máxima da sessão.

4. Na página de detalhes da função, na seção Basic Information, visualize e registre o ARN da função RAM.

Na Conta A, instale o componente sem senha para o cluster ACK e modifique sua configuração.

Para mais informações sobre as diferenças entre os componentes a seguir, consulte Comparação de componentes sem senha .

Na Conta A, visualize a função RAM de Worker do cluster e conceda a ela permissões de assunção de função.

1. Faça login no console ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

3. Na página Cluster Information, clique na aba Basic Information. Na seção Cluster Resources, clique no link à direita de Worker RAM Role.

4. Anexe a política de permissão AliyunSTSAssumeRoleAccess à função para conceder permissões de assunção de função e registre seu ARN. Para mais informações, consulte Gerenciar permissões para uma função RAM.

   1. Na página de detalhes da função, na aba Authorization, clique em Authorize.

   2. No painel Authorize, em Policies, localize e selecione a política AliyunSTSAssumeRoleAccess e clique em OK.

   3. Na página de detalhes da função, na seção Basic Information, visualize e registre o ARN da função RAM. Para instruções detalhadas, consulte Como visualizo o ARN de uma função RAM?

Na Conta B, crie uma função RAM com permissões para fazer pull de imagens privadas e configure-a para ser assumida pela função RAM de Worker do cluster ACK na Conta A.

1. Criar uma função RAM para uma conta confiável da Alibaba Cloud.

2. Crie uma política de permissão personalizada com o seguinte conteúdo e anexe-a à função RAM para conceder permissões de obtenção de informações da instância e pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Na página de detalhes da função RAM, clique na aba Trust Policy e em Edit Trust Policy com o seguinte conteúdo. Isso permite que a função RAM de Worker do cluster ACK na Conta A assuma a função RAM na Conta B.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created under Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. Na página de detalhes da função, na seção Basic Information, visualize e registre o ARN da função RAM. Para instruções detalhadas, consulte Como visualizo o ARN de uma função RAM?

Na Conta A, instale o componente sem senha para o cluster ACK e modifique sua configuração.

1. Faça login no console ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

3. Na página Add-ons, clique na aba Security, localize o componente aliyun-acr-credential-helper e clique em Install. Na caixa de diálogo exibida, defina a opção tokenMode como workerRole e clique em Confirm.

4. Modifique o ConfigMap do componente sem senha.

   1. No painel de navegação à esquerda, escolha Configurations > ConfigMaps.

   2. Na página ConfigMaps, selecione kube-system na lista suspensa Namespace. Em seguida, localize acr-configuration e clique em Edit YAML na coluna Actions. Atualize a configuração com base no exemplo a seguir.

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition instance ID.
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition region ID.
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition access domain name.
              assumeRoleARN: "<ARN of the role created under Account B>"
              expireDuration: 3600                                     # Maximum session duration for the RAM role under Account B. Default: 3600.

Na Conta B, crie um usuário RAM e garanta que ele tenha as permissões cr.** necessárias.

1. Criar um usuário RAM.

2. Crie uma política de permissão personalizada com o seguinte conteúdo e anexe-a ao usuário RAM para conceder permissões de obtenção de informações da instância e pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Crie um par AccessKey e registre o AccessKey ID e o AccessKey Secret.

Na Conta A, instale o componente sem senha para o cluster ACK e modifique sua configuração.

1. Faça login no console ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

3. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

4. Na página Add-ons, clique na aba Security, localize o componente aliyun-acr-credential-helper e clique em Install. Na caixa de diálogo exibida, defina a opção tokenMode como auto e clique em OK.

5. Modifique o ConfigMap do componente sem senha.

   1. No painel de navegação à esquerda, escolha Configurations > ConfigMaps.

   2. Na página ConfigMaps, selecione kube-system na lista suspensa Namespace. Em seguida, localize acr-configuration e clique em Edit YAML na coluna Actions. Atualize a configuração com base no exemplo a seguir.

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email: "c*@example.com"
       acr-registry-info: |
         - instanceId: ""                        # ACR Enterprise Edition instance ID.             
           regionId: "cn-hangzhou"               # ACR Enterprise Edition region ID.    
           customAccessKey: "xxxxx"              # AccessKey ID of the RAM user under Account B.
           customAccessKeySecret: "xxxxxx"       # AccessKey Secret of the RAM user under Account B.