1.3.2. 手动配置 Amazon Elastic Container Registry

流程

1. 为您的 EKS 集群启用 IAM OIDC 供应商：

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster name> --approve

   Copy to Clipboard Toggle word wrap
2. 为您的 EKS 集群 创建一个 IAM 角色。

3. 将新创建的角色与服务帐户关联：

   $ kubectl -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role-name>

   Copy to Clipboard Toggle word wrap

4. 重启 Central 以应用更改。

   $ kubectl -n stackrox delete pod -l app=central

   Copy to Clipboard Toggle word wrap

5. 将角色分配给允许角色根据需要假定另一个角色的策略：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 

   1

   
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

   1

   将 <assumerole-readonly > 替换为您要假定的角色。

6. 更新您要假定的角色的信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role-name>" 

   1

   
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;role-name > 应与之前创建的新角色匹配。

流程

1. 根据 AssumeRole 用户是否与 ECR registry 或不同帐户位于同一个帐户中，您必须：

   • 如果要假定角色位于与 ECR registry 相同的帐户中，则创建具有所需权限的新角色。

     注意

     在创建角色时，您可以根据需要选择任何可信实体。但是，您必须在创建后修改它。

   • 或者，您必须提供权限来访问 ECR registry，如果用户处于与 ECR registry 不同的帐户，则需要定义其信任关系：

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": "sts:AssumeRole",
                 "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 

     1

     
             }
         ]
     }

     Copy to Clipboard Toggle word wrap

     1

     将 <assumerole-readonly > 替换为您要假定的角色。

2. 通过在 Principal 字段中包含用户 ARN 来配置角色的信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:user/<role-name>"
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

流程

1. 在 RHACS 门户网站中，导航至 Platform Configuration Integrations。
2. 在 Image Integrations 部分下，选择 Amazon ECR。
3. 点 New Integration。

4. 输入以下字段的详情：

   1. 集成名称 ：集成的名称。
   2. Registry ID ：registry 的 ID。
   3. region ：registry 的区域，如 us-west-1。
5. 如果使用 IAM，请选择 Use container IAM role。否则，清除 Use custom IAM 角色 框，并输入 Access key ID 和 Secret access key。

6. 如果使用 AssumeRole，请选择 Use AssumeRole，并输入以下字段的详情：

   1. AssumeRole ID: 要假定的角色 ID。
   2. AssumeRole External ID （可选）：如果您使用 外部 ID 和 AssumeRole，您可以在这里输入它。
7. 选择 Test 以测试与所选 registry 集成是否正常工作。
8. 选择 Save。