Container Registry:Acesse uma instância Enterprise Edition entre regiões ou a partir de um data center

Casos de uso

Exemplo

Este exemplo acessa uma instância Enterprise Edition em China (Hangzhou) a partir de China (Shanghai) na mesma conta Alibaba Cloud. Detalhes do ambiente:

• VPC1

  • Região: China (Hangzhou)

  • Bloco CIDR IPv4: 10.0.0.0/16

  • vSwitch 1, localizado na Zona J, com bloco CIDR 10.0.0.0/24

  • vSwitch 2, localizado na Zona K, com bloco CIDR 10.0.1.0/24 (implantação multi-zona para recuperação de desastres)

  • Endereço IP do ECS1: 10.0.0.1 (usado para verifique a conectividade)

• VPC2

  • Região: China (Shanghai)

  • Bloco CIDR IPv4: 172.16.0.0/16

  • vSwitch 1, localizado na Zona M, com bloco CIDR 172.16.0.0/24

  • vSwitch 2, localizado na Zona N, com bloco CIDR 172.16.1.0/24

  • Endereço IP do ECS2: 172.16.0.1

Fluxo de trabalho:

1. Estabeleça uma conexão entre regiões: conecte VPC1 e VPC2 por meio do CEN. Connect VPCs across regions.

2. Em China (Hangzhou), obtenha as informações dos três domínios a seguir:

   Nota

   As instâncias ECS na mesma região da instância Enterprise Edition precisam acessá-la pela rede interna. Configure access control for a VPC.

   • O domínio da instância Enterprise Edition, usado para acesso via API para envio e recebimento de imagens.

   • O domínio do service de autenticação, usado para verificação de identidade.

   • O domínio do bucket OSS associado, usado para armazenamento e acesso a imagens.

3. Configure as tabelas de rotas: adicione os endereços IP ou blocos CIDR obtidos às tabelas de rotas da rede de source para acesso entre regiões pelo CEN.

4. Em China (Shanghai), verifique o acesso à instância Enterprise Edition em China (Hangzhou).

Etapa 1: Estabelecer uma conexão entre regiões

Use o CEN para conectar VPC1 em China (Hangzhou) e VPC2 em China (Shanghai). Connect VPCs across regions.

Etapa 2: Obter informações de domínio

1. Faça login no ECS1 em China (Hangzhou) e obtenha os endereços IP da VPC para a instância Enterprise Edition, o service de autenticação e o bucket OSS.

   • Obtenha o endereço IP de acesso VPC da instância Enterprise Edition.

     1. Faça login no Container Registry console.

     2. Na barra de navegação superior, selecione uma região.

     3. No painel de navegação à esquerda, clique em Instances.

     4. Na página Instances, clique na instância Enterprise Edition que deseja gerenciar.

     5. No painel de navegação à esquerda da página de gerenciamento da instância, escolha Repository > Access Control.

     6. Na aba VPC, copie o nome de domínio de acesso VPC da instância Enterprise Edition. Em seguida, execute ping no nome de domínio a partir da instância ECS para obter seu endereço IP.

   • Obtenha o endereço IP VPC do service de autenticação.

     Nota

     É possível ignorar esta etapa enabling the instance to take over the authentication domain.

     1. Execute o comando a seguir para obter o nome de domínio VPC do service de autenticação. Substitua InstanceName pelo nome da sua instância Enterprise Edition e RegionId pelo ID da região correspondente.

        curl -vv https://${InstanceName}-registry-vpc.${RegionId}.cr.aliyuncs.com/v2/

        O comando retorna uma saída semelhante à seguinte. O cabeçalho de resposta www-authenticate contém o valor Bearer realm, que é o nome de domínio VPC do service de autenticação, por exemplo, https://dockerauth-vpc.cn-hangzhou.aliyuncs.com/auth.

        * successfully set certificate verify locations:
        *   CAfile: /etc/pki/tls/certs/ca-bundle.crt
          CApath: none
        * TLSv1.3 (OUT), TLS handshake, Client hello (1):
        * TLSv1.3 (IN), TLS handshake, Server hello (2):
        * TLSv1.2 (IN), TLS handshake, Certificate (11):
        * TLSv1.2 (IN), TLS handshake, Server key exchange (12):
        * TLSv1.2 (IN), TLS handshake, Server finished (14):
        * TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
        * TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
        * TLSv1.2 (OUT), TLS handshake, Finished (20):
        * TLSv1.2 (IN), TLS handshake, Finished (20):
        * SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
        * ALPN, server accepted to use h2
        * Server certificate:
        *   subject: C=CN; ST=ZheJiang; L=HangZhou; O=Alibaba (China) Technology Co., Ltd.; CN=*.cr.aliyuncs.com
        *   start date: Dec 23 03:51:02 2024 GMT
        *   expire date: Jan 24 03:51:01 2026 GMT
        *   subjectAltName: host "xxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com" matched cert's "*.cn-hangzhou.cr.aliyuncs.com"
        *   issuer: C=BE; O=GlobalSign nv-sa; CN=GlobalSign GCC R3 OV TLS CA 2024
        *   SSL certificate verify ok.
        * Using HTTP2, server supports multi-use
        * Connection state changed (HTTP/2 confirmed)
        * Copying HTTP/2 data in stream buffer to connection buffer after upgrade: len=0
        * Using Stream ID: 1 (easy handle 0x560b1b3ce6f0)
        > GET /v2/ HTTP/2
        > Host: xxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com
        > User-Agent: curl/7.61.1
        > Accept: */*
        >
        * Connection state changed (MAX_CONCURRENT_STREAMS == 128)!
        < HTTP/2 401
        < date: Thu, 13 Mar 2025 04:05:48 GMT
        < content-type: application/json; charset=utf-8
        < content-length: 87
        < docker-distribution-api-version: registry/2.0
        < www-authenticate: Bearer realm="https://dockerauth-vpc.cn-hangzhou.aliyuncs.com/auth",service="registry.aliyuncs.com:cn-hangzhou:china:cri-xxx:2a"

     2. Execute ping para obter o endereço IP correspondente.

        ping dockerauth-vpc.cn-hangzhou.aliyuncs.com  

   • Obtenha o endereço IP VPC do bucket OSS.

     Nota

     Ignore esta etapa se você access OSS resources over a private network by using PrivateLink e apontar o nome de domínio do OSS para o endpoint do PrivateLink com um registro CNAME.

     Execute ping para obter o endereço IP correspondente.

     1. Obtenha o nome de domínio VPC do bucket OSS em China (Hangzhou). Access OSS by using an endpoint and a bucket domain name.

     2. Execute o comando ping para obter o endereço IP.

        ping oss-cn-hangzhou-internal.aliyuncs.com

     Nota

     Se você usar um bucket OSS personalizado, o nome de domínio será ${OSSBucketName}.oss-${RegionId}-internal.aliyuncs.com.

   Exemplos de endereços IP para os domínios da instância Enterprise Edition em China (Hangzhou):

   Service	Nome de domínio	Endereço IP
   Instância Enterprise Edition	xxxxxx-registry-vpc.cn-hangzhou.cr.aliyuncs.com	10.94.205.198
   Service de autenticação	dockerauth-vpc.cn-hangzhou.aliyuncs.com	100.103.7.181/32
   Bucket OSS	oss-cn-hangzhou-internal.aliyuncs.com	100.118.28.43/32

Etapa 3: Configurar tabelas de rotas

• Na VPC2 em China (Shanghai), adicione os endereços IP do service de autenticação e do bucket OSS à tabela de rotas.

  1. Faça login no VPC console.

  2. No painel de navegação à esquerda, clique em Route Tables.

  3. Na página Route Tables, localize a tabela de rotas personalizada de destino e clique em seu ID.

  4. Na página de detalhes da tabela de rotas personalizada, escolha Route Entry List > Custom Route e clique em Add Route Entry.

  5. No painel Add Route Entry, configure a entrada de rota conforme indicado a seguir, e clique em Confirm.

     Parameter	Description	Actions
     Destination CIDR Block	Insira o bloco CIDR de destino para encaminhamento. Para IPv4 CIDR, insira 100.103.7.181/32 e 100.118.28.43/32. Adicione cada endereço IP como uma entrada separada.	Selecione Transit Router em Next Hop Type e selecione a instância do transit router correspondente em Transit Router.
     Next Hop Type	Selecione o tipo de próximo salto. Escolha Transit Router. O tráfego destinado ao bloco CIDR de destino será roteado pelo transit router selecionado. Em seguida, selecione o Transit Router criado em Step 1: Establish a cross-region connection.

• Adicione uma entrada de rota para 100.0.0.0/8 (cobrindo os IP do service de autenticação e do bucket OSS) à tabela de rotas do transit router em China (Shanghai).

  1. Faça login no CEN console.

  2. Na página CEN Instance, clique no ID da instância CEN que deseja gerenciar.

  3. Na aba Basic Settings > Transit Router, localize a instância do transit router em China (Shanghai) e clique em seu ID.

  4. Na página de detalhes do transit router, clique na aba Route Table.

  5. Na seção à esquerda, clique no ID da tabela de rotas de destino. Na página de detalhes da tabela de rotas, clique na aba Route e, em seguida, clique em Create Route Entry.

  6. Na caixa de diálogo Add Route Entry, configure a entrada de rota e clique em Confirm.

     Parameter	Description	Actions
     Destination CIDR	Insira o bloco CIDR de destino. Para IPV4, insira 100.0.0.0/8 (cobre os IP do service de autenticação e do OSS).	Defina Blackhole Route como No e, em Next Hop, selecione o anexo entre regiões do tipo TR (por exemplo, sh-hz-attach).
     Blackhole Route	Blackhole Route: No
     Next Hop	Next Hop: Defina o tipo de anexo como TR e selecione a instância CEN de Step 1: Establish a cross-region connection.

• Adicione uma entrada de rota para 100.0.0.0/8 (cobrindo os IP do service de autenticação e do bucket OSS) à tabela de rotas do transit router em China (Hangzhou).

  1. Na aba Basic Settings > Transit Router, localize a instância do transit router em China (Hangzhou) e clique em seu ID.

  2. Na página de detalhes do transit router, clique na aba Route Table.

  3. Na seção à esquerda, clique no ID da tabela de rotas de destino. Na página de detalhes da tabela de rotas, clique na aba Route e, em seguida, clique em Create Route Entry.

  4. Na caixa de diálogo Add Route Entry, configure a entrada de rota e clique em Confirm.

     Parameter	Description	Actions
     Destination CIDR	Insira o bloco CIDR de destino. Para IPV4, insira 100.0.0.0/8 (cobre os IP do service de autenticação e do OSS).	Defina Blackhole Route como No e, em Next Hop, selecione a instância de anexo VPC.
     Blackhole Route	Blackhole Route: No
     Next Hop	Next Hop: Defina o tipo de anexo como VPC e selecione o ID da instância VPC de China (Hangzhou).

Etapa 4: Verificar o acesso