Para acessar uma instância do ACR Enterprise Edition a partir de uma VPC, configure o controle de acesso de VPC para estabelecer a conectividade de rede entre a VPC e a instância.
Pré-requisitos
Uma VPC e um vSwitch devem ser criados na mesma região que a instância Enterprise Edition. Para mais informações, consulte Crie e gerencie a VPC.
Alibaba Cloud DNS PrivateZone deve estar ativado. Para detalhes de faturamento, consulte Product billing.
O Alibaba Cloud DNS PrivateZone é necessário para a resolução de nomes de domínio em VPCs. Se o acesso via VPC não for necessário, utilize o endpoint público diretamente, sem configure o controle de acesso de VPC nem ativar o PrivateZone.
Como funciona o controle de acesso de VPC
A conexão de uma VPC a uma instância Enterprise Edition ocupa um endereço IP na VPC. O ACR usa o Alibaba Cloud DNS PrivateZone para resolver automaticamente o nome de domínio VPC da instância para esse endereço IP. Nenhuma configuração manual é necessária.
O controle de acesso é configurado no nível da VPC. Selecione qualquer vSwitch com endereços IP disponíveis. Após a configuração, todos os recursos da VPC podem acessar a instância por meio do nome de domínio VPC da instância.
Ao configure o controle de acesso de VPC, uma service-linked role chamada AliyunServiceRoleForContainerRegistryAccessCustomerPrivateZone é criada automaticamente para a resolução de nomes de domínio via Alibaba Cloud DNS PrivateZone. Para mais informações, consulte Service-linked role for Alibaba Cloud DNS PrivateZone.
Não altere a zona DNS criada automaticamente no Alibaba Cloud DNS PrivateZone. Caso contrário, operações como pull e exclusão de imagens podem falhar.
Adicionar uma VPC
A cota de controle de acesso de VPC deve ser adquirida separadamente. A cota inicial pode ser 0. Se a cota for insuficiente ou ocorrer um erro de cota excedida ao adicionar uma VPC, consulte Perguntas frequentes. Para detalhes de cota e preços, consulte Billing of Enterprise Edition instances.
Acesse o Container Registry console.
Na barra de navegação superior, selecione uma região.
No painel de navegação à esquerda, clique em Instances.
Na página Instances, clique na instância Enterprise Edition que deseja gerenciar.
-
Na página de gerenciamento da instância, no painel de navegação à esquerda, escolha .
NotaPara configure o controle de acesso de um Helm chart, escolha .
Na aba VPC, clique em.
-
Na caixa de diálogo Add VPC , selecione uma VPC e um vSwitch e clique em Confirm.
NotaÉ necessário vincular apenas um vSwitch. Após a vinculação, todas as instâncias ecs da VPC poderão acessar a instância Enterprise Edition.
A VPC é adicionada quando seu status muda de Creating para Running.
-
Opcional: Visualize a zona DNS no Alibaba Cloud DNS PrivateZone.
Após adicionar a VPC, o ACR cria automaticamente uma zona DNS no Alibaba Cloud DNS PrivateZone. É possível visualizá-la no console do PrivateZone.
Acesse o Alibaba Cloud DNS console.
-
No painel de navegação à esquerda, escolha .
Na aba User Defined Zones, visualize a zona DNS.
Perguntas frequentes
Por que não consigo executar ping na instância do ACR Enterprise Edition nem resolver DNS dentro da mesma VPC?
A instância Enterprise Edition não está vinculada à VPC no console do ACR. Sem essa vinculação, o Alibaba Cloud DNS PrivateZone não cria a zona DNS correspondente e os recursos da VPC não conseguem resolver o nome de domínio VPC da instância.
Para resolver esse problema, siga as etapas da seção Adicionar uma VPC para vincular a VPC e o vSwitch desejados à instância Enterprise Edition. Após o status da VPC mudar para Running, a resolução DNS e o acesso dentro da VPC funcionarão normalmente.
O que fazer se os erros "Image address must be a VPC endpoint" ou "Get EOF" ocorrerem ao fazer push ou pull de imagens via VPC?
Dependendo da mensagem de erro, execute uma das seguintes ações:
-
Erro "Image address must be a VPC endpoint": um endereço de endpoint de VPC está sendo usado em um ambiente não VPC, ou um endereço de endpoint público está sendo usado em um ambiente VPC. Verifique o ambiente de rede e use o formato de endpoint correto:
Dentro de uma VPC: use um endereço no formato
*-registry-vpc.{region-id}.cr.aliyuncs.com.Por rede pública: use um endereço no formato
*-registry.{region-id}.cr.aliyuncs.com.
Erro "Get EOF" ao fazer push de imagens: o cliente não está na rede VPC vinculada ou a conexão de rede está indisponível. Confirme que o cliente está em execução na VPC vinculada à instância do ACR Enterprise Edition. Se necessário, alterne para o endereço de endpoint público.
O que fazer se a cota de VPC for 0 ou ocorrer um erro de cota excedida ao adicionar uma VPC?
A cota de controle de acesso de VPC deve ser adquirida separadamente. A cota inicial pode ser 0. Se o acesso via VPC não for necessário, nenhuma configuração é exigida e nenhuma cobrança adicional é gerada. Caso seja necessário fazer pull de imagens a partir de uma VPC (por exemplo, de instâncias ecs ou clusters ACK), adquira a cota antes de vincular a VPC. Para detalhes de cota e preços, consulte Billing of Enterprise Edition instances.
Se ocorrer um erro de cota excedida ao adicionar uma VPC, siga estas etapas para aumentar a cota:
Acesse o VPC console e verifique o uso da cota.
Na página de gerenciamento de cotas, clique em Upgrade para adquirir cota adicional de VPC.
Após concluir a compra, limpe o cache do navegador e aguarde a nova cota entrar em vigor.
Retorne à instância Enterprise Edition, acesse a página Access Control e clique em Add VPC.
Documentos relacionados
Para acessar uma instância Enterprise Edition a partir de uma região diferente ou de um ambiente on-premises em uma VPC, consulte Access an Enterprise Edition instance across regions or from an on-premises data center.
Se ocorrerem problemas durante a configuração do controle de acesso de VPC — como falha na conectividade entre VPC e instância, erros de resolução DNS ou códigos de erro do PrivateZone — consulte VPC access control troubleshooting.