どのような許可が必要ですか？

必要な権限を判別するには、以下のケースを考慮してください。

• アプリをデプロイしたりジョブを実行したりすると、Code Engine は、自分のアカウントにあるイメージに自動的にアクセスできます。

• 共有アカウント、他の IBM Cloud アカウント、またはプライベート Docker アカウントからイメージにアクセスするには、適切なアクセス権限が割り当てられている必要があります。

• アプリをデプロイしたりジョブを実行したりする際、レジストリがアカウント IBM Cloud Container Registry ネームスペースを使用している場合、以下の表に記載されている必要な権限がアカウント付与されていれば、 Code Engine にレジストリのシークレットを自動的に作成・管理させることができます。

  • コンソールでは、このレジストリー・シークレットは Code Engine managed secret と呼ばれます。 このオプションは、Code Engineを使用してイメージをビルドするためにイメージの構成ワークフローまたはビルド詳細の指定ワークフローを使用する場合に使用できます。
  • CLI では、このレジストリ・シークレットは「 ce-auto-icr-private-<region> 」という形式になります。 このレジストリー・シークレットは、 --build-source オプションを指定したが、 app create、 app update、 job create、または job update コマンドで --registry-secret オプションを指定しなかった場合に自動的に作成されます。

サービスIDは使用できますか？

はい、サービス ID を作成し、それに権限を割り当てることができます。 Code Engine へのアクセス権限が自動的に作成される時点で、サービス ID も IBM Cloud Container Registry UI によって自動的に作成されることに注意してください。 このサービス ID は削除しないでください。レジストリー内のイメージへのアクセスが失われます。

別のレジストリにある画像にアクセスすることはできますか？

はい。 その方法は、こちらです。

プル操作へのアクセスを、特定のリージョンのレジストリ、あるいは単一のネームスペースに限定することはできますか？

はい。サービス ID の既存の IAM ポリシーを編集して、リーダーのサービス・アクセス役割をそのリージョン・レジストリーまたはレジストリー・リソース (名前空間など) に制限できます。 レジストリーの IAM ポリシーをカスタマイズする前に IBM Cloud で IBM Cloud Container Registry IAM ポリシーを有効にしておく必要があります。

コンソールからの API キーの作成

コンソールから IBM Cloud IAM の API キーを作成するには、以下の手順を実行します。

1. アクセス (IAM) の概要を起動します。

2. **「API キー」**を選択します。

3. **「IBM Cloud API キーの作成」**をクリックします。

4. API キーの名前と説明 (オプション) を入力して**「作成」**をクリックします。

5. API キーをコピーするか、「ダウンロード」をクリックして保存します。

   この API キーは再表示できないため、必ず安全な場所に記録してください。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

CLI を使用した API キーの作成

CLI で IBM Cloud IAM API キーを作成するには、iam api-key-create コマンドを実行します。 たとえば、 cliapikey という名前の API キーを作成し、説明に My CLI API key を指定して、 key_file という名前のファイルに保存するには、次のコマンドを実行します

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

キーをファイルに保存しないことを選択した場合は、作成時に表示される API キーを記録する必要があります。 後で取得することはできません。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

コンソールを使用したレジストリー・アクセス権限の追加

始めに、プロジェクトを作成します。

1. プロジェクトが「 アクティブ 」ステータスになったら、 Code Engine プロジェクトページ でプロジェクト名をクリックしてください。
2. 「コンポーネント」ページで、**「シークレットおよび構成マップ (Secrets and configmaps)」**をクリックします。
3. 「シークレットおよび構成マップ (Secrets and configmaps)」ページで**「作成」**をクリックして、シークレットを作成します。
4. 「シークレットまたは構成マップの作成 (Create secret or configmap)」ページで、以下の手順を実行します。
   1. 「レジストリー・シークレット」 を選択し、 「次へ」 をクリックします。
   2. 名前を指定してください。例： mysecret-registry。
   3. このシークレットのターゲット・レジストリー ( IBM Cloud Container Registry や Docker Hub など) を指定します。
   4. レジストリーの場所を指定します。
   5. ユーザー名を指定します。 このシークレットが IBM Cloud Container Registry用である場合、ユーザー名は iamapikey です。 このシークレットが Docker Hub 用の場合は、 Docker ID です。
   6. ユーザー名の資格情報を入力します。 IBM Cloud Container Registryでは、IAM API キーを使用します。 Docker Hub の場合は、ご使用の Docker Hub パスワードかアクセス・トークンを使用できます。 その他のターゲット・レジストリーの場合は、ユーザー名のパスワードまたは API キーを指定します。
   7. **「作成」**をクリックして、シークレットを作成します。

コンソールからシークレットを作成したので、[Secrets and configmaps] ページに移動して、定義済みのシークレットとコンフィグマップの一覧を確認してください。 必要に応じて、フィルターを適用してリストをカスタマイズすることができます。

コンテナー・レジストリーへのアクセス権限は、アプリケーションまたはジョブを作成するとき、またはイメージを作成するときに追加できます。 イメージの構成をクリックし、実行するコンテナー・イメージを指定します。これには、イメージが保管されているレジストリーと、イメージの取得に使用するレジストリー・アクセスが含まれます。

CLI を使用したレジストリー・アクセス権限の追加

CLI バージョン 1.42.0 以降、CLI でのシークレットの定義および操作は、 secret コマンドグループの下で統一されています。 ibmcloud ce secret コマンドを参照してください。 basic_auth, generic, hmac, ssh, tls, registry のように秘密のカテゴリーを指定するには --format オプションを使用する。 を使い続けることができる。 registry コマンドグループを使い続けることもできるが、統一された secret コマンドグループ コンテナ・レジストリにアクセスするためのシークレットを作成するには ibmcloud ce secret create --format registry コマンドを使う。 Code Engine でのシークレットの取り扱いについて詳しくは、「 シークレットの取り扱い 」を参照してください。

CLI を使用して「 IBM Cloud Container Registry 」または「 Docker 」ハブへのアクセス権を追加するには、 secret create --format registry コマンドを使用します。 このコマンドを実行するには、レジストリ・シークレットの名前、レジストリ・サーバーの URL、およびレジストリ・サーバーにアクセスするためのユーザー名とパスワードの情報が必要です。また、その他のオプション引数も指定できます。 オプションの完全な一覧については、 ibmcloud ce secret create コマンドを参照してください。

たとえば、次のコマンドを実行すると、 us.icr.io レジストリサーバー上にある「 myregistry 」という IBM Cloud Container Registry インスタンスへのレジストリアクセスが作成されます

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

出力例

Creating registry secret 'myregistry'...
OK

次の表は、この例で secret create --format registry コマンドで使用されるオプションをまとめたものです。 このコマンドとそのオプションの詳細については、 ibmcloud ce secret create コマンドを参照してください。

コンソールからのサービス ID を使用した Container Registry へのアクセス権限の付与

IBM Cloud Container Registryとの間でイメージをプルまたはプッシュするには、サービス ID を作成し、サービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

CLI を使用した Container Registry へのアクセス権限の付与

別のアカウントでIBM Cloud Container Registryからイメージをプルするには、サービス ID を作成し、そのサービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

1. iam service-id-create コマンドを使用して、イメージ・プル・シークレットの IAM ポリシーと API キー資格情報のために使用するプロジェクトの IBM Cloud IAM サービス ID を作成します。 必ず、後でサービス ID を思い出せるように、プロジェクト名などを含む説明を付けてください。 iam service-id-create コマンドとそのオプションの全リストについては、ibmcloud iam service-id-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id という名前のサービス ID を Service ID for IBM Cloud Container Registry in Code Engine project myproject という説明を付けて作成します。

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. iam service-policy-create コマンドを使用して、IBM Cloud へのアクセス権限を付与するカスタム IBM Cloud Container Registry IAM ポリシーを、サービス ID に対して作成します。 iam service-policy-create コマンドとそのオプションの全リストについては、ibmcloud iam service-policy-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id の役割を持つ Reader というサービス ID のポリシーを作成します。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   次の表は、この例で iam service-policy-create コマンドで使用されるオプションをまとめたものです。 このコマンドとそのオプションの詳細については、 ibmcloud iam service-policy-create コマンドを参照してください。

   iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <service_access_role>	必須。 サービス ID のアクセス権の有効範囲を指定するために、IBM Cloud Container Registry の サービス・アクセス役割を入力します。 指定できる値は、Reader、Writer、Manager です。 イメージをプルする場合は、Reader アクセス権限で十分です。 詳しくは、イメージ・レジストリーに対する権限の設定を参照してください。
   --service-name <container-registry>	必須。 container-registry を入力して、IBM Cloud Container Registry の IAM ポリシーを作成します。

3. iam-identity コマンドを使用して、iam service-policy-create サービスへのアクセスを許可するカスタム・サービス・ポリシーを作成し、Code Engine がサービス ID の API キーを取得できるようにします。

   例えば、codeengine-myproject-id の役割を持つ Operator というサービス ID のポリシーを作成するには、次のようにします。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   次の表は、この例で iam service-policy-create コマンドで使用されるオプションをまとめたものです。 このコマンドとそのオプションの詳細については、 ibmcloud iam service-policy-create コマンドを参照してください。

   iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <platform_access_role>	必須。 サービス ID のアクセス権限の有効範囲を指定するために、プラットフォーム・アクセス役割を入力します。 指定可能な値は、Administrator、Editor、Operator、および Viewerです。 Operator 以上をサービス ID に指定する必要があります。
   --service-name <iam-identity>	必須。 iam-identity を入力し、IAM Identity サービスの IAM ポリシーを作成します。

4. iam service-api-key-create コマンドで、サービス ID の API キーを作成します。 iam service-api-key-create コマンドとそのオプションの全リストについては、ibmcloud iam service-api-key-create コマンドを参照してください。 サービス ID に似た名前を API キーに付け、以前に作成したサービス IDcodeengine-<project_name>-idを含めます。 必ず、後でキーを思い出せるように説明を付けてください。

   たとえば、次のコマンドを実行すると、 codeengine-myproject-id のサービスIDに対して、 codeengine-myproject-key という名前のキーが作成され、その説明には「 API key for service ID codeengine-myproject-id for Code Engine myproject 」と設定されます：

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   出力例

   Please preserve the API key! It cannot be retrieved after it's created.
   Name          codeengine-myproject-key
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh
   Created At    2019-02-01T19:06+0000
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1
   Locked        false
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4
   

   この API キーは再表示できないため、必ず安全な場所に記録してください。

   これで、サービス ID および作成された API キー用のアクセス・ポリシーが設定されたので、Code Engineへのアクセス権限の追加を使用してコンテナー・レジストリーからイメージをプルできます。