免密拉取ACR镜像

在ACR实例与待创建的ECI实例等资源属于同一阿里云账号的前提下，如果ACR实例是个人版ACR，或者是使用默认域名的企业版ACR，则默认自动免密。此时，您可以按需配置RAM角色来限制免密范围，例如只允许某一ACR实例自动免密。

配置步骤包含以下两步。

步骤一：创建RAM角色并授权

1. 创建一个可信实体为阿里云服务的RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。

   需要注意的配置项如下：

   • 信任主体类型：云服务

   • 信任主体名称：弹性容器实例ECI

   • 角色名称：示例为acr-test

2. 创建自定义权限策略。具体操作，请参见创建自定义权限策略。

   权限策略的内容示例如下，表示只允许拉取指定ACR实例的镜像。关于如何编写权限策略，请参见权限策略基本元素。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. 为RAM角色绑定自定义权限策略。具体操作，请参见管理RAM角色的权限。

4. 找到新创建的acr-test角色，单击角色名称进入详情页面，确认权限并获取ARN。

   在基本信息区域找到 ARN 字段（格式为 acs:ram::<AccountID>:role/acr-test），单击右侧复制按钮复制该值。在 权限管理 页签下，确认已关联自定义策略 acr。

步骤二：指定RAM角色

调用CreateContainerGroup接口创建ECI实例，以及调用CreateImageCache接口创建镜像缓存时，您可以设置AcrRegistryInfo.N.ArnService参数来指定创建资源时使用的RAM角色。相关参数说明如下表所示。更多信息，请参见CreateContainerGroup和CreateImageCache。

以创建ECI实例为例，您可以通过OpenAPI传入以下参数：

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

步骤一：创建RAM角色并授权

1. 在ECI实例等资源归属账号A下创建RAM角色并授权。

   1. 创建一个可信实体为阿里云服务的RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。

      需要注意的配置项如下：

      • 信任主体类型：云服务

      • 信任主体名称：弹性容器实例ECI

      • 角色名称：示例为role-assume

   2. 为role-assume角色授予调用STS服务AssumeRole接口的权限。具体操作，请参见为RAM角色精确授权。

      要添加的权限类型为系统策略，权限策略名称为AliyunSTSAssumeRoleAccess。

   3. 找到新创建的role-assume角色，单击角色名称进入详情页面，确认权限和信任策略，并获取ARN。

      • 权限和ARN

        RAM角色的ARN为 acs:ram::<账号ID>:role/role-assume，已授予系统策略 AliyunSTSAssumeRoleAccess（用于调用STS服务AssumeRole接口）。

      • 信任策略

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "Service": [
                  "eci.aliyuncs.com"
                ]
              }
            }
          ],
          "Version": "1"
        }

2. 在ACR实例归属账号B下创建RAM角色并授权。

   1. 创建一个可信实体为阿里云账号的RAM角色。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

      需要注意的配置项如下：

      • 信任主体类型：云账号

      • 信任主体名称：其他云账号，此处填写ECI实例等资源归属账号A

      • 角色名称：示例为role-acr

   2. 为role-acr角色授予拉取ACR镜像的权限。具体操作，请参见为RAM角色精确授权。

      要添加的权限类型为系统策略，权限策略名称为AliyunContainerRegistryFullAccess。

   3. 修改信任策略，将role-acr角色授信给role-assume角色。具体操作，请参见修改RAM角色的信任策略。

      默认情况下，role-acr角色可以被账号A下授权的任何RAM用户或RAM角色扮演。建议您修改信任策略进行精确授信。

      在Principal处，将RAM字段的值改为role-assume角色的ARN，则表示role-acr角色只可以被role-assume角色扮演。示例如下：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 确认权限和信任策略，并获取ARN。

      • 权限和ARN

        角色 role-acr 的 ARN 为 acs:ram::<账号ID>:role/role-acr，单击旁边的复制按钮可复制该值。在权限管理页签中确认已授予 AliyunContainerRegistryFullAccess 系统策略，资源范围为账号级别。

      • 信任策略

        {
          "Statement": [
            {
              "Action": "sts:AssumeRole",
              "Effect": "Allow",
              "Principal": {
                "RAM": ["acs:ram::10051309xxxx:role/role-assume"]
              }
            }
          ],
          "Version": "1"
        }

步骤二：指定RAM角色创建资源

调用CreateContainerGroup接口创建ECI实例，以及调用CreateImageCache接口创建镜像缓存时，您可以设置AcrRegistryInfo相关参数来指定其他阿里云账号下的ACR实例。相关注意事项如下：

• 如果ACR实例属于其他阿里云账号，则必须设置ArnService和ArnUser来指定RAM角色，以配置权限。

• 如果ACR实例为使用自定义域名的企业版实例，则必须设置InstanceId来指定ACR实例。

更多信息，请参见CreateContainerGroup和CreateImageCache。

以创建ECI实例为例，您可以通过OpenAPI传入以下参数：

ContainerGroupName=test-acr
#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0
#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.N.ArnUser=acs:ram::1298452580******:role/role-acr