Elastic Container Instance:Pull de imagens ACR sem secrets

Quando uma instância do ACR e um recurso ECI estão na mesma conta Alibaba Cloud, o acesso sem secrets é ativado por padrão para instâncias da Personal Edition e para instâncias da Enterprise Edition que usam um nome de domínio padrão. Opcionalmente, configure uma função do Resource Access Management (RAM) para restringir esse acesso, por exemplo, para permitir pulls apenas de uma instância específica do ACR.

Essa configuração consiste em duas etapas.

Etapa 1: Criar e autorizar uma função RAM

1. Crie uma função RAM para um serviço confiável da Alibaba Cloud. Para obter mais informações, consulte Criar uma função RAM para um serviço confiável da Alibaba Cloud.

   Observe os seguintes parâmetros:

   • Tipo de principal: Cloud Service

   • Nome do principal: Elastic Container Instance

   • Nome da função: acr-test (exemplo)

2. Crie uma política de permissão personalizada. Para obter mais informações, consulte Criar uma política de permissão personalizada.

   A política a seguir permite o pull de imagens apenas da instância do ACR especificada. Para obter mais informações sobre como escrever uma política de permissão, consulte Elementos de política.

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. Anexe a política de permissão personalizada à função RAM. Para obter mais informações, consulte Conceder permissões a uma função RAM.

4. Localize a nova função acr-test e clique em seu nome para abrir a página de detalhes. Verifique as permissões e obtenha o ARN.

   Na seção Basic Information, localize o campo ARN (formatado como acs:ram::<AccountID>:role/acr-test) e clique no botão de cópia ao lado dele. Na aba Permissions, verifique se a política personalizada acr está anexada.

Etapa 2: Especificar a função RAM

Ao chamar a operação CreateContainerGroup para criar uma instância do ECI ou a operação CreateImageCache para criar um cache de imagem, defina o parâmetro AcrRegistryInfo.N.ArnService para especificar a função RAM a ser usada na criação do recurso. A tabela a seguir descreve esse parâmetro. Para obter mais informações, consulte CreateContainerGroup e CreateImageCache.

O exemplo a seguir mostra como passar parâmetros via OpenAPI para criar uma instância do ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

Etapa 1: Criar e autorizar funções RAM

1. Na Conta A, proprietária do recurso ECI, crie e autorize uma função RAM.

   1. Crie uma função RAM para um serviço confiável da Alibaba Cloud. Para obter mais informações, consulte Criar uma função RAM para um serviço confiável da Alibaba Cloud.

      Observe os seguintes parâmetros:

      • Tipo de principal: Cloud Service

      • Nome do principal: Elastic Container Instance

      • Nome da função: role-assume (exemplo)

   2. Conceda à função role-assume permissões para chamar a operação AssumeRole do Security Token Service (STS). Para obter mais informações, consulte Conceder permissões a uma função RAM.

      Anexe a política de sistema AliyunSTSAssumeRoleAccess.

   3. Localize a função role-assume recém-criada, clique em seu nome para acessar a página de detalhes e, em seguida, verifique as permissões e a política de confiança e obtenha o ARN.

      • Permissões e ARN

        O ARN da função RAM é acs:ram::<AccountID>:role/role-assume. A função recebeu a política de sistema AliyunSTSAssumeRoleAccess, que permite chamar a operação AssumeRole do STS.

      • Política de confiança

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. Na Conta B, proprietária da instância do ACR, crie e autorize uma função RAM.

   1. Crie uma função RAM para uma conta confiável da Alibaba Cloud. Para obter mais informações, consulte Criar uma função RAM para uma conta confiável da Alibaba Cloud.

      Observe os seguintes parâmetros:

      • Tipo de principal: Alibaba Cloud Account

      • Nome do principal: Other Alibaba Cloud Account. Insira o ID da Conta A, proprietária do recurso ECI.

      • Nome da função: role-acr (exemplo)

   2. Conceda à função role-acr permissões para baixar imagens do ACR. Para obter mais informações, consulte Conceder permissões a uma função RAM.

      Anexe a política de sistema AliyunContainerRegistryFullAccess.

   3. Modifique a política de confiança para permitir que a função role-assume assuma a função role-acr. Para obter mais informações, consulte Modificar a política de confiança de uma função RAM.

      Por padrão, qualquer usuário RAM ou função RAM autorizada na Conta A pode assumir a função role-acr. Recomendamos modificar a política de confiança para uma autorização precisa.

      Na seção Principal, altere o valor do campo RAM para o ARN da função role-assume. Isso garante que apenas a função role-assume possa assumir a função role-acr. Exemplo:

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. Verifique as permissões e a política de confiança e obtenha o ARN.

      • Permissões e ARN

        O ARN da função role-acr é acs:ram::<AccountID>:role/role-acr. Clique no botão de cópia para copiar o valor. Na aba Permissions, verifique se a política de sistema AliyunContainerRegistryFullAccess está anexada e se o escopo do recurso está no nível da conta.

      • Política de confiança

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::10051309xxxx:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

Etapa 2: Especificar as funções RAM

Ao chamar a operação CreateContainerGroup ou CreateImageCache, defina os parâmetros AcrRegistryInfo para especificar uma instância do ACR de outra conta Alibaba Cloud. Observe o seguinte:

• Se a instância do ACR pertencer a outra conta Alibaba Cloud, defina os parâmetros ArnService e ArnUser para especificar as funções RAM para configuração de permissões.

• Se a instância do ACR Enterprise Edition usar um nome de domínio personalizado, também defina o parâmetro InstanceId.

Para obter mais informações, consulte CreateContainerGroup e CreateImageCache.

O exemplo a seguir mostra como passar parâmetros via OpenAPI para criar uma instância do ECI:

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.1.ArnUser=acs:ram::1298452580******:role/role-acr