为自定义域名配置RAM权限策略_容器镜像服务 ACR-阿里云帮助中心

若您需要容器镜像服务ACR能够通过自定义域名访问和管理SSL证书，您可以通过为该账号添加RAM角色，并为该RAM角色授权对阿里云SSL证书操作权限的方式，从而实现安全的自定义域名访问。

步骤一：创建RAM角色

容器镜像服务访问自定义域名时，需要为阿里云账号创建名为AliyunContainerRegistryCustomizedDomainRole的角色。

使用阿里云账号（主账号）或具有管理权限的RAM用户登录RAM控制台。
在左侧导航栏，选择身份管理 > 角色。
在角色页面，单击创建角色。
在创建角色面板，选择可信实体类型为阿里云账号，然后单击下一步。
设置角色名称为AliyunContainerRegistryCustomizedDomainRole，输入备注，选择信任的云账号为当前云账号。单击完成。
说明
若选择其他云账号，需要填写其他云账号的ID。

步骤二：配置RAM角色的权限策略

配置RAM角色的权限策略，使其拥有对阿里云SSL证书资源读取的权限。

使用阿里云账号（主账号）或具有管理权限的RAM用户登录RAM控制台。
在左侧导航栏，选择身份管理 > 角色。
在RAM角色管理页面，单击AliyunContainerRegistryCustomizedDomainRole操作列的添加权限。
在添加权限面板，选择权限策略类型为系统策略，然后在权限策略名称列表下，单击AliyunYundunCertReadOnlyAccess。
说明
在右侧区域框，选择某条策略并单击×，可撤销该策略。
单击确定。
单击完成。

步骤三：配置RAM角色的信任策略

为该RAM角色的信任策略中添加容器镜像服务，使容器镜像服务可以访问阿里云SSL证书。

使用阿里云账号登录RAM控制台。
在左侧导航栏，选择身份管理 > 角色。
在角色页面，单击角色名称列下的AliyunContainerRegistryCustomizedDomainRole。
单击信任策略管理页签，然后单击修改信任策略。

拷贝以下内容到修改信任策略对话框的文本框中，然后单击确定。

{
    "Statement": [
        {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "cr.aliyuncs.com"
                ]
            }
        }
    ],
    "Version": "1"
}