文档

配置使用自定义域名时的RAM访问控制

更新时间:

若您需要容器镜像服务ACR能够通过自定义域名访问和管理SSL证书,您可以通过为该账号添加RAM角色,并为该RAM角色授权对阿里云SSL证书操作权限的方式,来实现安全的自定义域名访问。

步骤一:创建RAM角色

容器镜像服务访问自定义域名时,需要为阿里云账号创建名为AliyunContainerRegistryCustomizedDomainRole的角色。

  1. 使用RAM管理员登录RAM控制台

  2. 在左侧导航栏,选择身份管理 > 角色

  3. 角色页面,单击创建角色

  4. 创建角色页面,选择可信实体类型为阿里云账号,然后单击下一步

  5. 设置角色名称为AliyunContainerRegistryCustomizedDomainRole,输入备注,选择信任的云账号为当前云账号。单击完成

    说明

    若选择其他云账号,需要填写其他云账号的ID。

步骤二:配置RAM角色的权限策略

配置RAM角色的权限策略,使其拥有对阿里云SSL证书资源读取的权限。

  1. 使用RAM管理员登录RAM控制台

  2. 在左侧导航栏,选择身份管理 > 角色

  3. RAM角色管理页面,单击AliyunContainerRegistryCustomizedDomainRole操作列的添加权限

  4. 添加权限面板,选择权限策略类型为系统策略,然后在权限策略名称列表下,单击AliyunYundunCertReadOnlyAccess

    说明

    在右侧区域框,选择某条策略并单击×,可撤销该策略。

  5. 单击确定

  6. 单击完成

步骤三:配置RAM角色的信任策略

为该RAM角色的信任策略中添加容器镜像服务,使容器镜像服务可以访问阿里云SSL证书。

  1. 使用RAM管理员登录RAM控制台

  2. 在左侧导航栏,选择身份管理 > 角色

  3. 角色页面,单击角色名称列下的AliyunContainerRegistryCustomizedDomainRole。

  4. 信任策略页签,单击编辑信任策略

  5. 拷贝以下内容到修改信任策略对话框的文本框中,然后单击确定

    {
        "Statement": [
            {
                "Action": "sts:AssumeRole",
                "Effect": "Allow",
                "Principal": {
                    "Service": [
                        "cr.aliyuncs.com"
                    ]
                }
            }
        ],
        "Version": "1"
    }