Container Service for Kubernetes：使用免密組件同帳號拉取ACR企業版執行個體鏡像

步驟一：安裝組件

1. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，單擊組件管理。

3. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper託管卡片，單擊安裝。

4. 在安裝組件 aliyun-acr-credential-helper頁面，可以看到AcrInstanceInfo配置以及一些其他選項。AcrInstanceInfo對應的是組件關聯的每個ACR執行個體相關的配置。其他選項為組件配置，如無需修改組件監聽命名空間或ServiceAccount，保持預設即可。

   組件安裝完成後，在組件管理頁面，單擊aliyun-acr-credential-helper託管卡片上的配置，可變更組件配置。

   

   關聯ACR執行個體配置：

   AcrInstanceInfo		說明
   InstanceId		ACR執行個體ID，可通過Container Registry控制台擷取。 重要 使用個人版ACR執行個體時請留空，使用企業版ACR執行個體時必填。
   regionId		ACR執行個體所在地區的RegionId，可通過Container Registry控制台擷取。 重要 跨地區拉取鏡像時必填。
   domains		免密外掛程式訪問ACR執行個體所使用的網域名稱。預設為上方填入的ACR執行個體的所有網域名稱（公網、VPC）。若要指定個別網域名稱，多個以英文半形逗號（,）分隔。
   跨帳號拉取鏡像情境配置 適用於跨帳號拉取鏡像的情境。如無需求，請留空。	assumeRoleARN	同帳號拉取時無需配置，如需跨帳號拉取請參見跨帳號拉取鏡像。
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   組件配置

   配置項	說明
   是否開啟RRSA	勾選後即可開啟RRSA，同帳號拉取時無需配置，如需跨帳號拉取請參見跨帳號拉取鏡像。
   watchNamespace	期望能免密拉取鏡像的命名空間，預設值default。當取值為all時，表示期望所有命名空間均能免密拉取。如需指定多個命名空間，請使用英文半形逗號（,）分隔。推薦配置業務命名空間，盡量避免配置all或者叢集系統組件相關的命名空間，以免影響叢集系統組件鏡像的拉取。
   serviceAccount	使免密組件託管版作用於指定的Service Account。預設值Default。取值為Default時，會作用於所有指定命名空間的預設Service Account。如果設定為（*）， 表示支援指定命名空間下的所有ServiceAccount。如果需要配置多個，請使用以英文半形逗號（,）分隔。
   expiringThreshold	組件內憑證到期閾值。預設值為15m。建議使用15min。即在憑證到期前15m組件自動更新憑證。
   notifyEmail	無需配置。

步驟二：拉取鏡像

安裝並配置完成免密組件後，在建立工作負載時指定免密組件已關聯的ServiceAccount，即可實現免密拉取鏡像。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # 指定免密組件已經關聯的ServiceAccount
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # 指定ACR鏡像地址
        ports:
        - containerPort: 80

步驟一：安裝組件

1. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，單擊組件管理。

3. 在組件管理頁面，單擊安全頁簽，找到aliyun-acr-credential-helper，單擊安裝。

4. 在參數配置頁面，通過tokenMode選擇組件許可權模式，然後單擊確認。組件安裝完成後，在拉取鏡像前，請參見步驟二：變更組件配置（添加ACR執行個體）完成組件配置。

   tokenMode	說明
   auto	（推薦）組件會檢測叢集建立時間，並自動決定許可權模式。叢集在2023年04月03日之前建立將使用workerRole模式，叢集在2023年04月03日及之後建立將使用managedRole模式。 重要 aliyun-acr-credential-helper在2023年04月03日後發布的版本中提供了配置項，支援自訂群組件依賴的RAM角色。詳細資料，請參見【產品變更】關於變更aliyun-acr-credential-helper組件依賴許可權的公告。
   managedRole	組件將使用前提條件中授權的AliyunCSManagedAcrRole角色擷取許可權。
   workerRole	組件將使用叢集Worker RAM角色擷取許可權。需為Worker RAM角色授予特定許可權。 組件模式選擇workerRole 組件許可權模式選擇workerRole時，叢集Worker RAM角色必須擁有以下許可權。授權具體操作，請參見為RAM角色授權。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 如需通過角色扮演跨帳號拉取鏡像，請選擇此模式。

步驟二：變更組件配置（添加ACR執行個體）

免密組件安裝完成後，在拉取鏡像前，需要通過控制台或kubectl對免密組件配置項acr-configuration進行配置以添加ACR執行個體。

步驟三：拉取鏡像

安裝並配置完成免密組件後，在建立工作負載時指定免密組件已關聯的ServiceAccount，即可實現免密拉取鏡像。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # 指定免密組件已經關聯的ServiceAccount
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # 指定ACR鏡像地址
        ports:
        - containerPort: 80

配置免密組件後仍然拉取失敗

一個可能的原因是免密組件配置錯誤，例如：

• 免密組件中的執行個體資訊與ACR執行個體不符。

• 拉取鏡像使用的鏡像地址與免密組件中執行個體資訊的網域名稱不符。

請按照本文中的操作進行排查。

如組件配置正確時，仍出現了拉取失敗情況，可能是因工作負載YAML中手動填入的imagePullSecrets與免密組件產生衝突。請手動刪除imagePullSecrets欄位，並刪除舊Pod重建以解決此問題。

如何使用imagePullSecrets

2024年09月09日及之後建立的ACR個人版不支援使用免密組件。使用建立的ACR個人版執行個體時，建議通過Secret儲存使用者名稱與登入密碼的方式，在imagePullSecrets欄位中使用。

kubectl create secret generic image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 使用上一步建立的Secret
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替換為ACR連結