使用免密组件跨账号拉取镜像

在A用户账号下操作，启用ACK集群的RRSA功能，并创建支持角色扮演权限的RAM角色。

1. 为ACK集群开启RRSA功能。

   1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

   2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

   3. 在基本信息页签的安全与审计区域，单击RRSA OIDC右侧的开启。

   4. 在弹出的启用RRSA对话框，单击确定。

      在基本信息区域，当集群状态由更新中变为运行中后，表明该集群的RRSA特性已变更完成。

   5. 集群中RRSA功能开启后，在基本信息页签的安全与审计区域，将鼠标悬浮至RRSA OIDC右侧已开启上面，即可查看提供商的URL链接和ARN信息。

2. 使用脚本编辑信任策略，创建OIDC身份提供商的RAM角色。

   • 将示例中的<oidc_issuer_url>替换为上一步获取的当前集群中OIDC提供商的URL。

   • 将示例中的<oidc_provider_arn>替换为上一步获取的当前集群OIDC提供商的ARN。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "<oidc_provider_arn>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. 为该角色添加AliyunSTSAssumeRoleAccess权限以授予角色扮演能力，并记录其ARN信息。更多详情，请参见为RAM角色授权。

   1. 在角色详情页面的权限管理页签下，单击新增授权。

   2. 在新增授权面板的权限策略区域，定位并选中AliyunSTSAssumeRoleAccess权限策略，然后单击确认新增授权。

   3. 在角色详情页面的基本信息区域，查看并记录该RAM角色ARN。详细操作，请参见如何查看RAM角色的ARN？

在A用户账号下操作，查看集群的Worker RAM角色并授予其角色扮演权限。

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择集群信息。

3. 在集群信息页面，单击基本信息页签，然后在集群资源区域，单击Worker RAM 角色右侧链接。

4. 为该角色添加AliyunSTSAssumeRoleAccess权限以授予角色扮演能力，并记录其ARN信息。更多详情，请参见为RAM角色授权。

   1. 在角色详情页面的权限管理页签下，单击新增授权。

   2. 在新增授权面板的权限策略区域，定位并选中AliyunSTSAssumeRoleAccess权限策略，然后单击确认新增授权。

   3. 在角色详情页面的基本信息区域，查看并记录该RAM角色ARN。详细操作，请参见如何查看RAM角色的ARN？

在A用户账号下操作，为ACK集群安装免密组件并修改其配置项。

1. 登录容器服务管理控制台，在左侧导航栏单击集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，单击组件管理。

3. 在组件管理页面，单击安全页签，定位到aliyun-acr-credential-helper组件并单击安装。在弹框中，将tokenMode选项设置为workerRole，然后单击确定。

   

4. 修改免密组件的ConfigMap配置项。

   1. 在左侧导航栏，选择配置管理 > 配置项。

   2. 在配置项页面顶部的命名空间下拉列表，选择kube-system，然后单击acr-configuration操作列下的YAML 编辑，参考下列示例修改配置。

      data:
          service-account: "default"
          watch-namespace: "all"
          expiring-threshold: "15m"
          notify-email:"c*@example.com"
          acr-registry-info: |
            - instanceId: "cri-xxx"                                    # ACR企业版实例ID。
              regionId: "cn-hangzhou"                                  # ACR企业版地域ID。
              domains: "xxxxx-registry.cn-hangzhou.cr.aliyuncs.com"    # ACR企业版访问域名。
              assumeRoleARN: "<B用户账号创建角色的ARN>"
              expireDuration: 3600                                     # B用户下，为RAM角色设置最大会话时间，默认值为3600。