免密拉取ACR镜像

在ACR实例与待创建的ECI实例等资源属于同一阿里云账号的前提下，如果ACR实例是个人版ACR，或者是使用默认域名的企业版ACR，则默认自动免密。此时，您可以按需配置RAM角色来限制免密范围，例如只允许某一ACR实例自动免密。

配置步骤包含以下两步：

步骤一：创建RAM角色并授权

1. 创建一个可信实体为阿里云服务的RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。

   需要注意的配置项如下：

   • 可信实体类型：阿里云服务

   • 角色类型：普通服务角色

   • 角色名称：示例为acr-test

   • 受信服务：弹性容器实例ECI

2. 创建自定义权限策略。具体操作，请参见创建自定义权限策略。

   权限策略的内容示例如下，表示只允许拉取指定ACR实例的镜像。关于如何编写权限策略，请参见权限策略基本元素。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Get*",
                   "cr:List*"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "cr:Pull*"
               ],
               "Resource": [
                   "acs:cr:cn-hangzhou:1609982529******:instance/cri-nwj395hgf6f3****"
               ]
           }
       ]
   }

3. 为RAM角色绑定自定义权限策略。具体操作，请参见为RAM角色授权。

4. 找到新创建的acr-test角色，单击角色名称进入详情页面，确认权限并获取ARN。

   

步骤二：指定RAM角色

调用CreateContainerGroup接口创建ECI实例，以及调用CreateImageCache接口创建镜像缓存时，您可以设置AcrRegistryInfo.N.ArnService参数来指定创建资源时使用的RAM角色。相关参数说明如下表所示。更多信息，请参见CreateContainerGroup和CreateImageCache。

以创建ECI实例为例，您可以通过OpenAPI传入以下参数：

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/acr-test

步骤一：创建RAM角色并授权

1. 在ECI实例等资源归属账号A下创建RAM角色并授权。

   1. 创建一个可信实体为阿里云服务的RAM角色。具体操作，请参见创建可信实体为阿里云服务的RAM角色。

      需要注意的配置项如下：

      • 可信实体类型：阿里云服务

      • 角色类型：普通服务角色

      • 角色名称：示例为role-assume

      • 受信服务：弹性容器实例ECI

   2. 为role-assume角色授予调用STS服务AssumeRole接口的权限。具体操作，请参见为RAM角色精确授权。

      要添加的权限类型为系统策略，权限策略名称为AliyunSTSAssumeRoleAccess。

   3. 找到新创建的role-assume角色，单击角色名称进入详情页面，确认权限和信任策略，并获取ARN。

      • 权限和ARN

        

      • 信任策略

        

2. 在ACR实例归属账号B下创建RAM角色并授权。

   1. 创建一个可信实体为阿里云账号的RAM角色。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

      需要注意的配置项如下：

      • 可信实体类型：阿里云账号

      • 角色名称：示例为role-acr

      • 信任的云账号：其他云账号，此处填写ECI实例等资源归属账号A

   2. 为role-acr角色授予拉取ACR镜像的权限。具体操作，请参见为RAM角色精确授权。

      要添加的权限类型为系统策略，权限策略名称为AliyunContainerRegistryFullAccess。

   3. 修改信任策略，将role-acr角色授信给role-assume角色。具体操作，请参见修改RAM角色的信任策略。

      默认情况下，role-acr角色可以被账号A下授权的任何RAM用户或RAM角色扮演。建议您修改信任策略进行精确授信。

      在Principal处，将RAM字段的值改为role-assume角色的ARN，则表示role-acr角色只可以被role-assume角色扮演。示例如下：

      "Principal": {
      	"RAM": [
      		"acs:ram::1609982529******:role/role-assume"
      	]
      }

   4. 确认权限和信任策略，并获取ARN。

      • 权限和ARN

        

      • 信任策略

        

步骤二：指定RAM角色创建资源

调用CreateContainerGroup接口创建ECI实例，以及调用CreateImageCache接口创建镜像缓存时，您可以设置AcrRegistryInfo相关参数来指定其他阿里云账号下的ACR实例。相关注意事项如下：

• 如果ACR实例属于其他阿里云账号，则必须设置ArnService和ArnUser来指定RAM角色，以配置权限。

• 如果ACR实例为使用自定义域名的企业版实例，则必须设置InstanceId来指定ACR实例。

更多信息，请参见CreateContainerGroup和CreateImageCache。

以创建ECI实例为例，您可以通过OpenAPI传入以下参数：

ContainerGroupName=test-acr

#Container
Container.1.Name=test
Container.1.Image=test****-registry.cn-hangzhou.cr.aliyuncs.com/eci_test/nginx:1.0

#AcrRegistryInfo
AcrRegistryInfo.1.ArnService=acs:ram::1609982529******:role/role-assume
AcrRegistryInfo.N.ArnUser=acs:ram::1298452580******:role/role-acr