場景一：配置同賬號拉取鏡像

1. 登錄容器服務管理控制臺，在左側導航欄單擊集群。

2. 在集群列表頁面，單擊目標集群名稱，然后在左側導航欄，選擇集群信息。

3. 在左側導航欄，選擇運維管理 > 組件管理。

4. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper托管，單擊卡片中的配置。

5. 在aliyun-acr-credential-helper托管參數配置對話框，單擊右側的添加，在instanceId中輸入ACR企業版實例ID。單擊確定。

場景二：配置跨地域拉取鏡像

1. 登錄容器服務管理控制臺，在左側導航欄單擊集群。

2. 在集群列表頁面，單擊目標集群名稱，然后在左側導航欄，選擇集群信息。

3. 在左側導航欄，選擇運維管理 > 組件管理。

4. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper托管，單擊卡片中的配置。

5. 在aliyun-acr-credential-helper 參數配置對話框，單擊右側的添加，在instanceId中輸入ACR企業版實例ID，regionId中輸入ACR企業版實例的RegionID。單擊確定。

場景三：配置跨賬號拉取鏡像

使用RRSA進行跨賬號拉取

基于適用于服務賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）功能，可以在集群內為組件實現Pod維度的權限隔離。

1. 啟用集群的RRSA功能。具體操作，請參見啟用RRSA功能。

2. 配置跨賬號RAM用戶的容器鏡像服務資源訪問權限。

   集群開啟RRSA功能后，需要按照以下步驟進行配置。假設A用戶為集群所有者，B用戶為容器鏡像服務實例所有者，現在需要授權A用戶的集群具備訪問B用戶容器鏡像服務資源的權限。

   1. 配置A用戶的RAM角色

      在A用戶中創建一個角色，添加AliyunSTSAssumeRoleAccess權限策略，授予這個角色具有角色扮演的權限。按照如下修改其信任策略。

      • 將示例中的<oidc_issuer_url>替換為當前集群中OIDC提供商的URL。該URL可在容器服務管理控制臺集群信息頁面的基本信息頁簽獲取。

      • 將示例中的<oidc_provider_arn>替換為當前集群OIDC提供商的ARN。該ARN可在容器服務管理控制臺集群信息頁面的基本信息頁簽獲取。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用戶的RAM角色

      在B用戶中創建一個擁有ACR相關權限的角色，選擇信任策略管理，添加A用戶角色ARN。對B用戶的角色添加如下權限策略，授予這個角色具有獲取實例信息及拉取鏡像權限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      該RAM角色可以設置角色最大會話時間，可設置時間范圍為3600秒到43200秒，而角色會話時間在下文的配置項中的expireDuration也需要設置。推薦此處取值的設置和配置項的expireDuration的值一致。允許expireDuration小于等于角色最大會話時間。

3. 登錄容器服務管理控制臺，在左側導航欄單擊集群。

4. 在集群列表頁面，單擊目標集群名稱，然后在左側導航欄，選擇集群信息。

5. 在左側導航欄，選擇運維管理 > 組件管理。

6. 在組件管理頁面，選擇安全頁簽，找到aliyun-acr-credential-helper托管，單擊卡片中的配置。

7. 在aliyun-acr-credential-helper參數配置對話框，單擊右側的添加，輸入assumeRoleARN，expireDuration，rrsaRoleARN，rrsaOIDCProviderRoleARN。單擊確定。