場景一：配置同賬號拉取鏡像

1. 創建自定義權限策略，策略內容如下。具體操作，請參見步驟一：創建自定義權限策略。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "cr:GetAuthorizationToken",
                   "cr:ListInstanceEndpoint",
                   "cr:PullRepository"
               ],
               "Resource": "*",
               "Effect": "Allow"
           }
       ]
   }

2. 為集群的Worker RAM角色授權。具體操作，請參見步驟二：為集群的Worker RAM角色授權。

3. 設置acr-configuration配置項，即修改acr-configuration配置項中ConfigMap的配置，用于拉取企業版的私有鏡像。

   data:
       service-account: "default"
       watch-namespace: "all"
       expiring-threshold: "15m"
       notify-email:"c*@aliyuncs.com"
       acr-registry-info:|
         - instanceId: "cri-instanceId"
           regionId: "cn-hangzhou"
           domains: "instance.default.domain.com,instance.custom.domain.com"

場景二：配置跨地域拉取鏡像

如需拉取的鏡像與當前ACK集群不屬于同一地域時，您需要修改配置項acr-configuration中的ConfigMap。

data:
    service-account: "default"
    watch-namespace: "all"
    expiring-threshold: "15m"
    notify-email:"c*@aliyuncs.com"
    acr-registry-info: |
      - instanceId: "cri-instanceId"
        regionId: "cn-beijing"
      - instanceId: "cri-instanceId"
        regionId: "cn-hangzhou"            

場景三：配置跨賬號拉取鏡像

使用RRSA進行跨賬號拉取

基于適用于服務賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）功能，可以在集群內為組件實現Pod維度的權限隔離。

1. 啟用集群的RRSA功能。具體操作，請參見啟用RRSA功能。

2. 配置跨賬號RAM用戶的容器鏡像服務資源訪問權限。

   集群開啟RRSA功能后，需要按照以下步驟進行配置。假設A用戶為集群所有者，B用戶為容器鏡像服務實例所有者，現在需要授權A用戶的集群具備訪問B用戶容器鏡像服務資源的權限。

   1. 配置A用戶的RAM角色

      在A用戶中創建一個角色，添加AliyunSTSAssumeRoleAccess權限策略，授予這個角色具有角色扮演的權限。按照如下修改其信任策略。

      • 將示例中的<oidc_issuer_url>替換為當前集群中OIDC提供商的URL。該URL可在容器服務管理控制臺集群信息頁面的基本信息頁簽獲取。

      • 將示例中的<oidc_provider_arn>替換為當前集群OIDC提供商的ARN。該ARN可在容器服務管理控制臺集群信息頁面的基本信息頁簽獲取。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Condition": {
              "StringEquals": {
                "oidc:aud": "sts.aliyuncs.com",
                "oidc:iss": "<oidc_issuer_url>",
                "oidc:sub": "system:serviceaccount:kube-system:aliyun-acr-credential-helper"
              }
            },
            "Effect": "Allow",
            "Principal": {
              "Federated": [
                "<oidc_provider_arn>"
              ]
            }
          }
        ],
        "Version": "1"
      }

   2. 配置B用戶的RAM角色

      在B用戶中創建一個擁有ACR相關權限的角色，選擇信任策略管理，添加A用戶角色ARN。

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "RAM": [
                <A用戶創建角色的ARN>
              ]
            }
          }
        ],
        "Version": "1"
      }

      然后對B用戶的角色添加如下權限策略，授予這個角色獲取實例信息及拉取鏡像權限。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "cr:GetAuthorizationToken",
                      "cr:ListInstanceEndpoint",
                      "cr:PullRepository"
                  ],
                  "Resource": "*",
                  "Effect": "Allow"
              }
          ]
      }

      該RAM角色可以設置角色最大會話時間，可設置時間范圍為3600秒到43200秒，而角色會話時間在下文的配置項中的expireDuration也需要設置。推薦此處取值的設置和配置項的expireDuration的值一致。允許expireDuration小于等于角色最大會話時間。

3. 設置acr-configuration配置項

   按照如下配置內容，修改acr-configuration配置項中ConfigMap的配置。

   data:
     rrsa: |
       enable: true
     acr-registry-info: |
       - instanceId: cri-xxx
         regionId: cn-hangzhou
         rrsaRoleARN: aUserRoleARN
         rrsaOIDCProviderRoleARN: aUserClusterOIDCProviderRoleARN
         assumeRoleARN: bUserRoleARN
         expireDuration: 3600

   配置項鍵	配置項說明	配置項值
   rrsaRoleARN	上文中A用戶創建的角色的ARN。	acs:ram::aaa
   rrsaOIDCProviderRoleARN	上文中A用戶ACK控制臺集群基本信息中的提供商ARN。	acs:ram::bbb
   assumeRoleARN	上文中B用戶創建的角色的ARN。	acs:ram::ccc
   expireDuration	上文中B用戶創建的角色的會話時間，等同于免密組件生成的臨時憑證的有效期。 重要 expireDuration的值不應大于B用戶創建角色的最大會話時間。	默認為3600。取值范圍為[3600, 43200]，單位為秒。 同時需要將B用戶創建角色的最大會話時間調整為43200。

使用角色扮演進行跨賬號拉取

使用RAM用戶（子賬號）的AK及SK進行跨賬號拉取