Container Registry:Pull images across accounts with the password-free component

Na Conta A, ative o recurso RRSA para o cluster ACK e crie uma função do RAM com permissões de assunção de função.

1. Ative o recurso RRSA para o cluster ACK.

   1. Acesse o console do ACK. No painel de navegação à esquerda, clique em Clusters.

   2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

   3. Na aba Basic Information, na seção Security and Auditing, clique em Enable ao lado de RRSA OIDC.

   4. Na caixa de diálogo Enable RRSA, clique em Confirm. Aguarde o status do cluster mudar de Updating para Running. O RRSA agora está ativado.

   5. Após a ativação do RRSA, passe o mouse sobre o rótulo Enabled ao lado de RRSA OIDC na seção Security and Auditing. A URL e o ARN (Alibaba Cloud Resource Name) do provedor OIDC serão exibidos.

2. crie a RAM role for an OIDC identity provider e atualize sua política de confiança com o seguinte conteúdo.

   • Substitua <oidc_issuer_url> pela URL do provedor OIDC obtida na etapa anterior.

   • Substitua <oidc_provider_arn> pelo ARN do provedor OIDC obtido na etapa anterior.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. Anexe a política de permissão AliyunSTSAssumeRoleAccess à função para conceder permissões de assunção de função e, em seguida, anote seu ARN. Para obter mais informações, consulte gerencie permissions for a RAM role.

   1. Na página de detalhes da função, na aba Authorization, clique em Authorize.

   2. No painel Authorize, em Policies, localize e selecione a política AliyunSTSAssumeRoleAccess e clique em OK.

   3. Na página de detalhes da função, na seção Basic Information, visualize e anote o ARN da função do RAM. Para obter instruções detalhadas, consulte How do I visualize the ARN of a RAM role?

Na Conta B, crie uma função do RAM com permissões para fazer pull de imagens privadas e configure-a para que possa ser assumida pela função do RAM da Conta A.

1. crie a RAM role for a trusted Alibaba Cloud account. edite a política de confiança com o seguinte script para permitir a assunção de função pela função da Conta A.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created in Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

2. crie a custom permission policy com o seguinte conteúdo e attach it to the RAM role para conceder permissões para obter informações da instância e fazer pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. defina the maximum session duration for the RAM role para um valor entre 3.600 e 43.200 segundos. O padrão é 3.600 segundos.

   Certifique-se de que este valor corresponda ao parâmetro expireDuration na configuração do componente descrita posteriormente. O valor de expireDuration não pode exceder a duração máxima da sessão.

4. Na página de detalhes da função, na seção Basic Information, visualize e anote o ARN da função do RAM.

Na Conta A, instale o componente sem credenciais para o cluster ACK e modifique sua configuração.

Para obter mais informações sobre as diferenças entre os componentes a seguir, consulte Comparison of password-free components .

Na Conta A, visualize a função do RAM do Worker do cluster e conceda a ela permissões de assunção de função.

1. Acesse o console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

3. Na página Cluster Information, clique na aba Basic Information. Na seção Cluster Resources, clique no link à direita de Worker RAM Role.

4. Anexe a política de permissão AliyunSTSAssumeRoleAccess à função para conceder permissões de assunção de função e, em seguida, anote seu ARN. Para obter mais informações, consulte gerencie permissions for a RAM role.

   1. Na página de detalhes da função, na aba Authorization, clique em Authorize.

   2. No painel Authorize, em Policies, localize e selecione a política AliyunSTSAssumeRoleAccess e clique em OK.

   3. Na página de detalhes da função, na seção Basic Information, visualize e anote o ARN da função do RAM. Para obter instruções detalhadas, consulte How do I visualize the ARN of a RAM role?

Na Conta B, crie uma função do RAM com permissões para fazer pull de imagens privadas e configure-a para que possa ser assumida pela função do RAM do Worker do cluster ACK na Conta A.

1. crie a RAM role for a trusted Alibaba Cloud account.

2. crie a custom permission policy com o seguinte conteúdo e attach it to the RAM role para conceder permissões para obter informações da instância e fazer pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. Na página de detalhes da função do RAM, clique na aba Trust Policy e Edit Trust Policy com o seguinte conteúdo. Isso permite que a função do RAM do Worker do cluster ACK na Conta A assuma a função do RAM na Conta B.

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Effect": "Allow",
         "Principal": {
           "RAM": [
             "<ARN of the role created under Account A>"
           ]
         }
       }
     ],
     "Version": "1"
   }

4. Na página de detalhes da função, na seção Basic Information, visualize e anote o ARN da função do RAM. Para obter instruções detalhadas, consulte How do I visualize the ARN of a RAM role?

Na Conta A, instale o componente sem credenciais para o cluster ACK e modifique sua configuração.

1. Acesse o console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

3. Na página Add-ons, clique na aba Security, localize o componente aliyun-acr-credential-helper e clique em Install. Na caixa de diálogo exibida, defina a opção tokenMode como workerRole e clique em Confirm.

4. modifique o ConfigMap do componente sem credenciais.

   1. No painel de navegação à esquerda, escolha Configurations > ConfigMaps.

   2. Na página ConfigMaps, selecione kube-system na lista suspensa Namespace. Em seguida, localize acr-configuration e clique em Edit YAML na coluna Actions. Atualize a configuração com base no exemplo a seguir.

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email: "c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR Enterprise Edition instance ID.
              regionId: "cn-hangzhou"                                  # ACR Enterprise Edition region ID.
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR Enterprise Edition access domain name.
              assumeRoleARN: "<ARN of the role created under Account B>"
              expireDuration: 3600                                     # Maximum session duration for the RAM role under Account B. Default: 3600.

Na Conta B, crie um usuário do RAM e certifique-se de que ele tenha as permissões cr.** necessárias.

1. crie a RAM user.

2. crie a custom permission policy com o seguinte conteúdo e attach it to the RAM user para conceder permissões para obter informações da instância e fazer pull de imagens.

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

3. crie an AccessKey pair e anote o AccessKey ID e o AccessKey Secret.

Na Conta A, instale o componente sem credenciais para o cluster ACK e modifique sua configuração.

1. Acesse o console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Cluster Information.

3. Na página Clusters, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

4. Na página Add-ons, clique na aba Security, localize o componente aliyun-acr-credential-helper e clique em Install. Na caixa de diálogo exibida, defina a opção tokenMode como auto e clique em OK.

5. modifique o ConfigMap do componente sem credenciais.

   1. No painel de navegação à esquerda, escolha Configurations > ConfigMaps.

   2. Na página ConfigMaps, selecione kube-system na lista suspensa Namespace. Em seguida, localize acr-configuration e clique em Edit YAML na coluna Actions. Atualize a configuração com base no exemplo a seguir.

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email: "c*@example.com"
       acr-registry-info: |
         - instanceId: ""                        # ACR Enterprise Edition instance ID.             
           regionId: "cn-hangzhou"               # ACR Enterprise Edition region ID.    
           customAccessKey: "xxxxx"              # AccessKey ID of the RAM user under Account B.
           customAccessKeySecret: "xxxxxx"       # AccessKey Secret of the RAM user under Account B.