配置使用自定义域名时的RAM访问控制
若您需要容器镜像服务ACR能够通过自定义域名访问和管理SSL证书,您可以通过为该账号添加RAM角色,并为该RAM角色授权对阿里云SSL证书操作权限的方式,从而实现安全的自定义域名访问。
步骤一:创建RAM角色
容器镜像服务访问自定义域名时,需要为阿里云账号创建名为AliyunContainerRegistryCustomizedDomainRole的角色。
使用阿里云账号(主账号)或具有管理权限的RAM用户登录RAM控制台。
在左侧导航栏,选择 。
在角色页面,单击创建角色。
在创建角色面板,选择可信实体类型为阿里云账号,然后单击下一步。
设置角色名称为AliyunContainerRegistryCustomizedDomainRole,输入备注,选择信任的云账号为当前云账号。单击完成。
说明若选择其他云账号,需要填写其他云账号的ID。
步骤二:配置RAM角色的权限策略
配置RAM角色的权限策略,使其拥有对阿里云SSL证书资源读取的权限。
使用阿里云账号(主账号)或具有管理权限的RAM用户登录RAM控制台。
在左侧导航栏,选择 。
在RAM角色管理页面,单击AliyunContainerRegistryCustomizedDomainRole操作列的添加权限。
在添加权限面板,选择权限策略类型为系统策略,然后在权限策略名称列表下,单击AliyunYundunCertReadOnlyAccess。
说明在右侧区域框,选择某条策略并单击×,可撤销该策略。
单击确定。
单击完成。
步骤三:配置RAM角色的信任策略
为该RAM角色的信任策略中添加容器镜像服务,使容器镜像服务可以访问阿里云SSL证书。
- 使用阿里云账号登录RAM控制台。
- 在左侧导航栏,选择 。
在角色页面,单击角色名称列下的AliyunContainerRegistryCustomizedDomainRole。
- 单击信任策略管理页签,然后单击修改信任策略。
拷贝以下内容到修改信任策略对话框的文本框中,然后单击确定。
{ "Statement": [ { "Action": "sts:AssumeRole", "Effect": "Allow", "Principal": { "Service": [ "cr.aliyuncs.com" ] } } ], "Version": "1" }