:Credential-free container image pull with a component

Usar onectl

1. Instale e configure o onectl na sua máquina local. Para mais informações, consulte Gerenciar clusters registrados usando onectl.

2. Execute o comando a seguir para conceder permissões RAM ao aliyun-acr-credential-helper:

   onectl ram-user grant --addon aliyun-acr-credential-helper

   Saída esperada:

   Ram policy ack-one-registered-cluster-policy-aliyun-acr-credential-helper granted to ram user ack-one-user-ce313528c3 successfully.

Usar o console

Antes de instalar o componente em um cluster externo, defina o par de AccessKey para conceder ao cluster externo as permissões necessárias para acessar recursos da Alibaba Cloud. Antes de definir o par de AccessKey, crie um usuário RAM e conceda a ele as permissões para acessar recursos da Alibaba Cloud.

1. Criar um usuário RAM.

2. Criar uma política personalizada. Exemplo:

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": [
                   "*"
               ],
               "Effect": "Allow"
           }
       ]
   }

3. Anexar a política personalizada a um usuário RAM.

4. Criar um par de AccessKey para o usuário RAM.

   Aviso

   Recomendamos configurar políticas baseadas em par de AccessKey para controle de acesso à rede, limitando as fontes de invocação do AccessKey a ambientes de rede confiáveis para aumentar a segurança.

5. Use o par de AccessKey para criar um Secret chamado alibaba-addon-secret no cluster registrado.

   O sistema usa automaticamente o par de AccessKey para acessar recursos da nuvem quando você instala o componente aliyun-acr-credential-helper.

   kubectl -n kube-system create secret generic alibaba-addon-secret --from-literal='access-key-id=<your access key id>' --from-literal='access-key-secret=<your access key secret>'

   Nota

   Substitua <your access key id> e <your access key secret> pelo par de AccessKey obtido na etapa anterior.

Usar onectl

Execute o comando a seguir para instalar o aliyun-acr-credential-helper:

onectl addon install aliyun-acr-credential-helper

Saída esperada:

Addon aliyun-acr-credential-helper, version **** installed.

Se o aliyun-acr-credential-helper já estiver instalado, certifique-se de que esteja na versão mais recente. Execute o comando a seguir para atualizar o aliyun-acr-credential-helper para a versão mais recente:

onectl addon upgrade aliyun-acr-credential-helper

Saída esperada:

Addon aliyun-acr-credential-helper upgraded to version ****.

Usar o console

Se o componente aliyun-acr-credential-helper já estiver instalado, verifique se ele está na versão mais recente. Caso contrário, atualize-o. A atualização não afeta seus serviços. Para mais informações, consulte Gerenciar componentes. Para mais detalhes sobre o componente aliyun-acr-credential-helper, consulte aliyun-acr-credential-helper.

Após a atualização do componente aliyun-acr-credential-helper para a versão mais recente, a função RAM da qual o componente depende é alterada. O componente fornece o parâmetro tokenMode para permitir que você especifique a função RAM da qual ele depende. Para mais informações sobre os impactos da alteração da função RAM da qual o componente depende, consulte [[Alterações do Produto] Revogar as permissões das quais o aliyun-acr-credential-helper depende](t2292520.dita#task_2292520).

1. Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

3. Na página Add-ons, clique na aba Security, localize aliyun-acr-credential-helper e clique em Install.

4. Na página Parameters, use o valor padrão auto para o parâmetro tokenMode e clique em OK.

   Após atualizar um cluster gerenciado pelo ACK para a versão mais recente, o componente aliyun-acr-credential-helper passa a oferecer o parâmetro tokenMode. Você pode modificar esse parâmetro após a instalação do componente. Após a modificação, o sistema recria o pod do componente. Clusters antigos mencionados na tabela referem-se àqueles criados antes de 3 de abril de 2023, enquanto clusters novos são aqueles criados em ou após 3 de abril de 2023. A tabela a seguir descreve os valores válidos para o parâmetro tokenMode.

   tokenMode	Descrição
   auto	Determina automaticamente se deve usar o modo managedRole, sendo este o valor padrão. O sistema utiliza o modo managedRole para clusters novos e o modo workerRole para clusters antigos.
   managedRole	Utiliza o modo managedRole.
   workerRole	Utiliza o modo workerRole.

Usar o console

1. Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do cluster que deseja gerenciar e escolha Configurations > ConfigMaps no painel de navegação à esquerda.

3. Na parte superior da página ConfigMap, selecione kube-system na lista suspensa Namespace. Em seguida, localize o ConfigMap acr-configuration e configure os parâmetros.

   Se o ConfigMap acr-configuration não existir, crie um ConfigMap. Para mais informações, consulte Criar um ConfigMap. Para saber como atualizar ConfigMaps, consulte Gerenciar ConfigMaps.

   • Clique em Edit na coluna Actions para configurar chaves e valores do ConfigMap.

   • Clique em Edit YAML na coluna Actions para configurar chaves e valores do ConfigMap.

Usar kubectl

1. Execute o comando a seguir para acessar a página de edição do ConfigMap acr-configuration:

   kubectl edit cm acr-configuration -n kube-system

2. Configure os parâmetros do ConfigMap acr-configuration conforme suas necessidades.