0

寻找将 ACR 与用于生产环境的 AKS 集成的最佳方法，似乎有多种方法，例如在安装期间和安装后，使用服务主体和使用图像提取密钥等。

所以为我们的生产环境寻找最推荐的选项，这里的要求如下。

  • 在创建 aks 期间是否必须附加 acr
  • 如果我们将 ACR 与 AKS 安装本身集成在一起，会有什么优势。（似乎，在这种情况下，我们不想将图像拉取秘密传递给 pod 规范以及我们需要的其他选项）
  • 在这种情况下，将 ACR 与 AKS ( az aks update) 命令集成的另一种方法是什么？如果是，与我们在 AKS 安装期间集成的先前方法有什么不同。
  • 如果我想在另一个区域设置辅助 AKS 集群，但需要连接 ACR 主实例的 ACR 地理复制实例，我该如何完成？在这种情况下，是否必须在 AKS 安装期间附加 tge ACR 或稍后安装后也可以使用？
4

1 回答 1

2

恕我直言，最好的方法是 Azure RBAC。创建 AKS 时无需附加 ACR。您可以利用 Azure RBAC 并将角色“AcrPull”分配给节点池的 Kubelet 标识。这可以为您拥有的每个 ACR 完成：

export KUBE_ID=$(az aks show -g <resource group> -n <aks cluster name> --query identityProfile.kubeletidentity.objectId -o tsv)
export ACR_ID=$(az acr show -g <resource group> -n <acr name> --query id -o tsv)
az role assignment create --assignee $KUBE_ID --role "AcrPull" --scope $ACR_ID

地形：

  resource "azurerm_role_assignment" "example" {
    scope                            = azurerm_container_registry.acr.id
    role_definition_name             = "AcrPull"
    principal_id                     = azurerm_kubernetes_cluster.aks.kubelet_identity[0].object_id
  }
于 2021-10-18T06:47:26.953 回答