1.2.2. 手动配置 Amazon Elastic Container Registry

流程

1. 为您的 EKS 集群启用 IAM OIDC 供应商：

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster name> --approve

   Copy to Clipboard Toggle word wrap
2. 为您的 EKS 集群 创建一个 IAM 角色。

3. 将新创建的角色与服务帐户关联：

   $ kubectl -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role-name>

   Copy to Clipboard Toggle word wrap

4. 重启 Central 以应用更改。

   $ kubectl -n stackrox delete pod -l app=central

   Copy to Clipboard Toggle word wrap

5. 将角色分配给允许角色根据需要假定另一个角色的策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 

   1

   
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   将 <assumerole-readonly > 替换为您要假定的角色。

6. 更新您要假定的角色的信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role-name>" 

   1

   
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;role-name > 应与之前创建的新角色匹配。

流程

1. 根据 AssumeRole 用户是否与 ECR registry 或不同帐户位于同一个帐户中，您必须：

   • 如果要假定角色位于与 ECR registry 相同的帐户中，则创建具有所需权限的新角色。

     注意

     在创建角色时，您可以根据需要选择任何可信实体。但是，您必须在创建后修改它。

   • 或者，您必须提供权限来访问 ECR registry，如果用户处于与 ECR registry 不同的帐户，则需要定义其信任关系：

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": "sts:AssumeRole",
                 "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 

     1

     
             }
         ]
     }

     Copy to Clipboard Toggle word wrap

     1

     将 <assumerole-readonly > 替换为您要假定的角色。

2. 通过在 Principal 字段中包含用户 ARN 来配置角色的信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:user/<role-name>"
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration Integrations。

2. 在 Image Integrations 部分下，选择 Amazon Elastic Container Registry。

   此时会打开 Configure image integration modal。

3. 点 New Integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. Registry ID ：registry 的 ID。
   3. 区域 ：registry 的区域。

5. 如果您已经配置了 AssumeRole，使用容器 IAM 保留 Use 容器 IAM 角色 选项检查。否则，取消选择 Use custom IAM 角色，并输入以下字段的详情：

   1. 访问密钥 ID ：角色的访问密钥 ID。
   2. 机密访问密钥 ：角色的 secret 访问密钥。
6. 选择 Use AssumeRole 复选框。

7. 输入以下字段的详情：

   1. AssumeRole ID: 要假定的角色 ID。
   2. AssumeRole External ID （可选）：如果您使用 外部 ID 和 AssumeRole，您可以在这里输入它。
8. 选择 Test （选中标记 图标）来测试与所选 registry 集成是否正常工作。
9. 选择 Create (save icon)来创建配置。