場景一：配置同賬號拉取鏡像

1. 創(chuàng)建自定義權(quán)限策略，策略內(nèi)容如下。具體操作，請參見步驟一：創(chuàng)建自定義權(quán)限策略。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

2. 為集群的Worker RAM角色授權(quán)。具體操作，請參見步驟二：為集群的Worker RAM角色授權(quán)。

3. 設(shè)置acr-configuration配置項，即修改acr-configuration配置項中ConfigMap的配置，用于拉取企業(yè)版的私有鏡像。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email:"c*@aliyuncs.com"
       acr-registry-info:|
         - instanceId: "cri-instanceId"
           regionId: "cn-hangzhou"
           domains: "instance.default.domain.com,instance.custom.domain.com"

場景二：配置跨地域拉取鏡像

如需拉取的鏡像與當(dāng)前ACK集群不屬于同一地域時，您需要修改配置項acr-configuration中的ConfigMap。

data:
    service-account: "default"
    watch-namespace: "all"
    expiring-threshold: "15m"
    notify-email:"c*@aliyuncs.com"
    acr-registry-info: |
      - instanceId: "cri-instanceId"
        regionId: "cn-beijing"
      - instanceId: "cri-instanceId"
        regionId: "cn-hangzhou"            

場景三：配置跨賬號拉取鏡像

使用RRSA進行跨賬號拉取

基于適用于服務(wù)賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）功能，可以在集群內(nèi)為組件實現(xiàn)Pod維度的權(quán)限隔離。

1. 啟用集群的RRSA功能。具體操作，請參見啟用RRSA功能。

2. 配置跨賬號RAM用戶的容器鏡像服務(wù)資源訪問權(quán)限。

   集群開啟RRSA功能后，需要按照以下步驟進行配置。假設(shè)A用戶為集群所有者，B用戶為容器鏡像服務(wù)實例所有者，現(xiàn)在需要授權(quán)A用戶的集群具備訪問B用戶容器鏡像服務(wù)資源的權(quán)限。

   1. 配置A用戶的RAM角色

      在A用戶中創(chuàng)建一個角色，添加AliyunSTSAssumeRoleAccess權(quán)限策略，授予這個角色具有角色扮演的權(quán)限。按照如下修改其信任策略。

      • 將示例中的<oidc_issuer_url>替換為當(dāng)前集群中OIDC提供商的URL。該URL可在容器服務(wù)管理控制臺集群信息頁面的基本信息頁簽獲取。

      • 將示例中的<oidc_provider_arn>替換為當(dāng)前集群OIDC提供商的ARN。該ARN可在容器服務(wù)管理控制臺集群信息頁面的基本信息頁簽獲取。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用戶的RAM角色

      在B用戶中創(chuàng)建一個擁有ACR相關(guān)權(quán)限的角色，選擇信任策略管理，添加A用戶角色ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                <A用戶創(chuàng)建角色的ARN>
              ]
            }
          }
        ],
        "Version": "1"
      }

      然后對B用戶的角色添加如下權(quán)限策略，授予這個角色獲取實例信息及拉取鏡像權(quán)限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      該RAM角色可以設(shè)置角色最大會話時間，可設(shè)置時間范圍為3600秒到43200秒，而角色會話時間在下文的配置項中的expireDuration也需要設(shè)置。推薦此處取值的設(shè)置和配置項的expireDuration的值一致。允許expireDuration小于等于角色最大會話時間。

3. 設(shè)置acr-configuration配置項

   按照如下配置內(nèi)容，修改acr-configuration配置項中ConfigMap的配置。

   data:
     service-account: "default"
     watch-namespace: "all"
     expiring-threshold: "15m"
     notify-email: "c*@aliyuncs.com"
     acr-registry-info:
       - instanceId: "cri-xxx"
         regionId: "cn-hangzhou"
         domains: "instance.default.domain.com,instance.custom.domain.com"
         rrsaRoleARN: aUserRoleARN
         rrsaOIDCProviderRoleARN: aUserClusterOIDCProviderRoleARN
         assumeRoleARN: bUserRoleARN
         expireDuration: 3600
     rrsa:
       enable: true

   配置項鍵	配置項說明	配置項值
   rrsaRoleARN	上文中A用戶創(chuàng)建的角色的ARN。	acs:ram::aaa
   rrsaOIDCProviderRoleARN	上文中A用戶ACK控制臺集群基本信息中的提供商ARN。	acs:ram::bbb
   assumeRoleARN	上文中B用戶創(chuàng)建的角色的ARN。	acs:ram::ccc
   expireDuration	上文中B用戶創(chuàng)建的角色的會話時間，等同于免密組件生成的臨時憑證的有效期。 重要 expireDuration的值不應(yīng)大于B用戶創(chuàng)建角色的最大會話時間。	默認(rèn)為3600。取值范圍為[3600, 43200]，單位為秒。 同時需要將B用戶創(chuàng)建角色的最大會話時間調(diào)整為43200。

使用角色扮演進行跨賬號拉取

使用RAM用戶（子賬號）的AK及SK進行跨賬號拉取