Container Service for Kubernetes:Pull images from an ACR Enterprise Edition instance in the same account using the credential-free add-on

1. Adım: Eklentiyi yükleme

1. ACK konsolu üzerinde oturum açın. Sol gezinme bölmesinde Clusters seçeneğine tıklayın.

2. Clusters sayfasında kümenizin adına tıklayın. Sol gezinme bölmesinde Add-ons seçeneğine tıklayın.

3. Add-ons sayfasında Security sekmesine tıklayın, aliyun-acr-credential-helper (managed) kartını bulun ve ardından Install. seçeneğine tıklayın.

4. Install add-on aliyun-acr-credential-helper sayfasında AcrInstanceInfo ayarlarını ve diğer seçenekleri görüntüleyin. AcrInstanceInfo , eklentiyle ilişkili her bir ACR örneğinin ayarlarını içerir. Diğer seçenekler ise eklenti ayarlarıdır. Eklentinin izlediği ad alanlarını veya ServiceAccount'ları değiştirmeniz gerekmiyorsa varsayılan ayarları koruyabilirsiniz.

   Eklenti yüklendikten sonra Add-ons sayfasındaki aliyun-acr-credential-helper (managed) kartında Configurations seçeneğine tıklayarak ayarları değiştirebilirsiniz.

   ACR örneği ilişkilendirme ayarları:

   AcrInstanceInfo		Açıklama
   InstanceId		ACR örneğinin kimliği. Kimliği Container Registry konsolundan alabilirsiniz. Önemli ACR Personal Edition örnekleri için bu alanı boş bırakın. Bu alan ACR Enterprise Edition örnekleri için gereklidir.
   regionId		ACR örneğinin dağıtıldığı bölgenin kimliği. Kimliği Container Registry konsolundan alabilirsiniz. Önemli Bu parametre, bölgeler arası görüntü çekme işlemleri için gereklidir.
   domains		Kimlik bilgisi gerektirmeyen eklentinin ACR örneğine erişmek için kullandığı etki alanı adları. Varsayılan olarak bu, belirtilen ACR örneğinin tüm etki alanı adlarını (internet ve VPC) içerir. Birden çok etki alanı adı belirtmek için bunları virgülle (,) ayırın.
   Hesaplar arası görüntü çekme ayarları Bu ayarlar hesaplar arası görüntü çekme işlemleri için geçerlidir. Bu özelliğe ihtiyacınız yoksa alanları boş bırakın.	assumeRoleARN	Aynı hesap içi çekmeler için yapılandırma gerekmez. Hesaplar arası çekmeler için bkz. Pull images across accounts.
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   Eklenti ayarları

   Parametre	Açıklama
   Enable RRSA	RRSA'yı etkinleştirmek için bu onay kutusunu seçin. Aynı hesap içi çekmeler için yapılandırma gerekmez. Hesaplar arası çekmeler için bkz. Pull images across accounts.
   watchNamespace	Kimlik bilgisi gerektirmeyen görüntü çekmeyi etkinleştirmek istediğiniz ad alanları. Varsayılan değer default değeridir. Bu özelliği tüm ad alanları için etkinleştirmek üzere değeri all olarak ayarlayın. Birden çok ad alanı belirtmek için bunları virgülle (,) ayırın. Yalnızca iş ad alanlarınızı belirtmeniz ve sistem görüntüsü çekme işlemlerinin kesintiye uğramasını önlemek için all veya küme sistemi bileşenlerine ait ad alanlarını kullanmamanız önerilir.
   serviceAccount	Yönetilen kimlik bilgisi gerektirmeyen eklentinin uygulanacağı ServiceAccount'u belirtir. Varsayılan değer Default değeridir. Default değeri, eklentiyi belirtilen ad alanlarında varsayılan ServiceAccount'a uygular. Değeri * olarak ayarlarsanız eklenti, belirtilen ad alanlarında tüm ServiceAccount'lara uygulanır. Birden çok ServiceAccount belirtmek için bunları virgülle (,) ayırın.
   expiringThreshold	Eklentideki kimlik bilgilerinin sona erme eşiği. Varsayılan değer 15m değeridir.
   notifyEmail	Yapılandırma gerekmez.

2. Adım: Görüntü çekme

Kimlik bilgisi gerektirmeyen eklentiyi yükledikten ve yapılandırdıktan sonra, bir workload oluştururken eklentiyle ilişkili bir ServiceAccount belirtin. Bu sayede kimlik bilgisi gerektirmeyen görüntü çekme etkinleşir.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

1. Adım: Eklentiyi yükleme

1. ACK konsolu üzerinde oturum açın. Sol gezinme bölmesinde Clusters seçeneğine tıklayın.

2. Clusters sayfasında kümenizin adına tıklayın. Sol gezinme bölmesinde Add-ons seçeneğine tıklayın.

3. Add-ons sayfasında Security sekmesine tıklayın, aliyun-acr-credential-helper kartını bulun ve ardından Install seçeneğine tıklayın.

4. Parameters sayfasında, tokenMode açılır listesinden bir izin modu seçin ve OK seçeneğine tıklayın. Eklenti yüklendikten sonra görüntü çekebilmek için yapılandırmanız gerekir. Daha fazla bilgi için bkz. Step 2: Update the add-on configuration (add an ACR instance).

   tokenMode	Açıklama
   auto	(Önerilir) Eklenti, küme oluşturma zamanını algılar ve otomatik olarak bir izin modu seçer. 3 Nisan 2023'ten önce oluşturulan kümeler workerRole modunu kullanır. 3 Nisan 2023'te veya sonrasında oluşturulan kümeler managedRole modunu kullanır. Önemli 3 Nisan 2023'te veya sonrasında yayınlanan aliyun-acr-credential-helper sürümleri, eklentinin bağlı olduğu RAM rolünü özelleştirmenize olanak tanıyan bir parametre sağlar. Daha fazla bilgi için bkz. [Product Change] Announcement on changing the permissions required by the aliyun-acr-credential-helper add-on.
   managedRole	Eklenti, Ön koşullar bölümünde yetkilendirilen AliyunCSManagedAcrRole rolünü kullanarak izinleri alır.
   workerRole	Eklenti, izinleri almak için küme worker RAM rolünü kullanır. Worker RAM rolüne belirli izinler atamanız gerekir. Eklenti modu olarak workerRole seçin Eklenti izin modu olarak workerRole seçerseniz küme worker RAM rolünün aşağıdaki izinlere sahip olması gerekir. İzinlerin nasıl atanacağı hakkında bilgi için bkz. Manage RAM role permissions. { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } Önemli Bir rol üstlenerek hesaplar arası görüntü çekmeniz gerekiyorsa bu modu seçin.

2. Adım: Eklenti yapılandırmasını güncelleme

Kimlik bilgisi gerektirmeyen eklenti yüklendikten sonra, görüntü çekebilmek için bir ACR örneği eklemek üzere acr-configuration ConfigMap'ini yapılandırmanız gerekir. Bunu konsolu veya kubectl kullanarak yapabilirsiniz.

3. Adım: Görüntü çekme

Kimlik bilgisi gerektirmeyen eklentiyi yükledikten ve yapılandırdıktan sonra, bir workload oluştururken eklentiyle ilişkili bir ServiceAccount belirtin. Bu sayede kimlik bilgisi gerektirmeyen görüntü çekme etkinleşir.

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # Specify a ServiceAccount that is associated with the credential-free add-on.
      containers:
      - name: nginx
        image: "******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest" # Specify the ACR image address.
        ports:
        - containerPort: 80

ServiceAccount'ların hemen kullanılmasını etkinleştirme

Etkinleştirildiğinde, kimlik bilgisi gerektirmeyen eklenti bir Webhook kullanarak kümedeki ServiceAccount değişikliklerini izler. Yeni bir ServiceAccount oluşturulduğunda eklenti, kimlik bilgisi gerektirmeyen Secret'ı hemen enjekte eder. Bu özellik, bir Helm Chart'in aynı anda hem bir ServiceAccount hem de bir Deployment oluşturduğu gibi, ServiceAccount'un oluşturulduktan hemen sonra kullanıldığı senaryolar için kullanışlıdır. Bu özellik eklenti performansını etkileyebilir ve genel kullanım için önerilmez.

data:
  webhook-configuration: |
    enable: true
    failure-policy: Ignore
    timeout-seconds: 10

Görüntü çekme hatalarını giderme

Olası nedenlerden biri, kimlik bilgisi gerektirmeyen eklenti yapılandırmasının yanlış olmasıdır; örneğin:

• Kimlik bilgisi gerektirmeyen eklentide yapılandırılan örnek bilgileri ACR örneğiyle eşleşmiyor.

• Görüntü çekmek için kullanılan görüntü adresi, eklentinin örnek bilgilerinde belirtilen etki alanı adıyla eşleşmiyor.

Sorunu gidermek için bu konudaki adımları izleyin.

Eklenti doğru şekilde yapılandırıldığı halde görüntü çekme başarısız oluyorsa bunun nedeni, workload YAML'sinde manuel olarak belirtilen imagePullSecrets alanı ile kimlik bilgisi gerektirmeyen eklenti arasındaki bir çakışma olabilir. Bunu çözmek için imagePullSecrets alanını manuel olarak kaldırın ve Pod'u yeniden oluşturun.

imagePullSecrets nasıl kullanılır?

9 Eylül 2024 veya sonraki tarihlerde oluşturulan ACR Personal Edition örnekleri kimlik bilgisi gerektirmeyen eklentiyi desteklemez. Bu örnekler için kullanıcı adını ve parolayı bir Secret içinde saklamanızı ve bunu imagePullSecrets alanında referans olarak belirtmenizi öneririz.

kubectl create secret docker-registry image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # Use the Secret created in the previous step.
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # Replace with the ACR image address.