使用免密组件同账号拉取ACR企业版实例镜像

步骤一：安装组件

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。

3. 在组件管理页面，选择安全页签，找到aliyun-acr-credential-helper托管卡片，单击安装。

4. 在安装组件 aliyun-acr-credential-helper页面，可以看到AcrInstanceInfo配置以及一些其他选项。AcrInstanceInfo对应的是组件关联的每个ACR实例相关的配置。其他选项为组件配置，如无需修改组件监听命名空间或ServiceAccount，保持默认即可。

   组件安装完成后，在组件管理页面，单击aliyun-acr-credential-helper托管卡片上的配置，可变更组件配置。

   

   关联ACR实例配置：

   AcrInstanceInfo		说明
   InstanceId		ACR实例ID，可通过容器镜像服务控制台获取。 重要 使用个人版ACR实例时请留空，使用企业版ACR实例时必填。
   regionId		ACR实例所在地域的RegionId，可通过容器镜像服务控制台获取。 重要 跨地域拉取镜像时必填。
   domains		免密插件访问ACR实例所使用的域名。默认为上方填入的ACR实例的所有域名（公网、VPC）。若要指定个别域名，多个以英文半角逗号（,）分隔。
   跨账号拉取镜像场景配置 适用于跨账号拉取镜像的场景。如无需求，请留空。	assumeRoleARN	同账号拉取时无需配置，如需跨账号拉取请参见跨账号拉取镜像。
   	expireDuration
   	rrsaRoleARN
   	rrsaOIDCProviderRoleARN

   组件配置

   配置项	说明
   是否开启RRSA	勾选后即可开启RRSA，同账号拉取时无需配置，如需跨账号拉取请参见跨账号拉取镜像。
   watchNamespace	期望能免密拉取镜像的命名空间，默认值default。当取值为all时，表示期望所有命名空间均能免密拉取。如需指定多个命名空间，请使用英文半角逗号（,）分隔。推荐配置业务命名空间，尽量避免配置all或者集群系统组件相关的命名空间，以免影响集群系统组件镜像的拉取。
   serviceAccount	使免密组件托管版作用于指定的Service Account。默认值Default。取值为Default时，会作用于所有指定命名空间的默认Service Account。如果设置为（*）， 表示支持指定命名空间下的所有ServiceAccount。如果需要配置多个，请使用以英文半角逗号（,）分隔。
   expiringThreshold	组件内凭证过期阈值。默认值为15m。建议使用15min。即在凭证过期前15m组件自动更新凭证。
   notifyEmail	无需配置。

步骤二：拉取镜像

安装并配置完成免密组件后，在创建工作负载时指定免密组件已关联的ServiceAccount，即可实现免密拉取镜像。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # 指定免密组件已经关联的ServiceAccount
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # 指定ACR镜像地址
        ports:
        - containerPort: 80

步骤一：安装组件

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。

3. 在组件管理页面，单击安全页签，找到aliyun-acr-credential-helper，单击安装。

4. 在参数配置页面，通过tokenMode选择组件权限模式，然后单击确认。组件安装完成后，在拉取镜像前，请参见步骤二：变更组件配置（添加ACR实例）完成组件配置。

   tokenMode	说明
   auto	（推荐）组件会检测集群创建时间，并自动决定权限模式。集群在2023年04月03日之前创建将使用workerRole模式，集群在2023年04月03日及之后创建将使用managedRole模式。 重要 aliyun-acr-credential-helper在2023年04月03日后发布的版本中提供了配置项，支持自定义组件依赖的RAM角色。详细信息，请参见【产品变更】关于变更aliyun-acr-credential-helper组件依赖权限的公告。
   managedRole	组件将使用前提条件中授权的AliyunCSManagedAcrRole角色获取权限。
   workerRole	组件将使用集群Worker RAM角色获取权限。需为Worker RAM角色授予特定权限。 组件模式选择workerRole 组件权限模式选择workerRole时，集群Worker RAM角色必须拥有以下权限。授权具体操作，请参见为RAM角色授权。 { "Version": "1", "Statement": [ { "Action": [ "cr:GetAuthorizationToken", "cr:ListInstanceEndpoint", "cr:PullRepository" ], "Resource": "*", "Effect": "Allow" } ] } 重要 如需通过角色扮演跨账号拉取镜像，请选择此模式。

步骤二：变更组件配置（添加ACR实例）

免密组件安装完成后，在拉取镜像前，需要通过控制台或kubectl对免密组件配置项acr-configuration进行配置以添加ACR实例。

步骤三：拉取镜像

安装并配置完成免密组件后，在创建工作负载时指定免密组件已关联的ServiceAccount，即可实现免密拉取镜像。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment
  labels:
    app: nginx
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      serviceAccountName: my-service-account # 指定免密组件已经关联的ServiceAccount
      containers:
      - name: nginx
        image: ******.cn-hangzhou.cr.aliyuncs.com/nginx/nginx:latest # 指定ACR镜像地址
        ports:
        - containerPort: 80

配置免密组件后仍然拉取失败

一个可能的原因是免密组件配置错误，例如：

• 免密组件中的实例信息与ACR实例不符。

• 拉取镜像使用的镜像地址与免密组件中实例信息的域名不符。

请按照本文中的操作进行排查。

如组件配置正确时，仍出现了拉取失败情况，可能是因工作负载YAML中手动填入的imagePullSecrets与免密组件产生冲突。请手动删除imagePullSecrets字段，并删除旧Pod重建以解决此问题。

如何使用imagePullSecrets

2024年09月09日及之后新建的ACR个人版不支持使用免密组件。使用新建的ACR个人版实例时，建议通过Secret保存用户名与登录密码的方式，在imagePullSecrets字段中使用。

kubectl create secret generic image-secret-1 \
  --docker-server=<registry-server> \
  --docker-username=<name> \
  --docker-password=<password> \
  --docker-email=<email>

apiVersion: apps/v1
kind: Deployment 
metadata:
  name: nginx-test
  namespace: default 
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx 
    spec:
      imagePullSecrets:
      - name: image-secret-1  # 使用上一步创建的Secret
      containers:
      - name: nginx 
        image: <acrID>.cr.aliyuncs.com/<repo>/nginx:latest  # 替换为ACR链接