コンテナー・レジストリーへのアクセス

どのような権限が必要ですか？

必要な権限を判別するには、以下のケースを考慮してください。

• アプリをデプロイしたりジョブを実行したりすると、Code Engine は、自分のアカウントにあるイメージに自動的にアクセスできます。

• 共有アカウント、他の IBM Cloud アカウント、またはプライベート Docker アカウントからイメージにアクセスするには、適切なアクセス権限が割り当てられている必要があります。

• アプリのデプロイやジョブの実行で、レジストリが自分のアカウントにあるIBM Cloud Container Registry名前空間を使用する場合、自分のアカウントに以下の表に示す必要なパーミッションがあれば、Code Engineにレジストリ・シークレットの自動作成と管理を任せることができます。

  • コンソールでは、このレジストリー・シークレットは Code Engine managed secret と呼ばれます。 このオプションは、Code Engineを使用してイメージをビルドするためにイメージの構成ワークフローまたはビルド詳細の指定ワークフローを使用する場合に使用できます。
  • CLIでは、このレジストリ秘密は'ce-auto-icr-private-<region> 形式である。 このレジストリー・シークレットは、 --build-source オプションを指定したが、 app create、 app update、 job create、または job update コマンドで --registry-secret オプションを指定しなかった場合に自動的に作成されます。

サービスIDは使えますか？

はい、サービス ID を作成し、それに権限を割り当てることができます。 Code Engine へのアクセス権限が自動的に作成される時点で、サービス ID も IBM Cloud Container Registry UI によって自動的に作成されることに注意してください。 このサービス ID は削除しないでください。レジストリー内のイメージへのアクセスが失われます。

別のレジストリにある画像にアクセスできますか？

はい。 その方法は、こちらです。

プル・アクセスを特定の地域レジストリや単一のネームスペースに制限することはできますか？

はい。サービス ID の既存の IAM ポリシーを編集して、リーダーのサービス・アクセス役割をそのリージョン・レジストリーまたはレジストリー・リソース (名前空間など) に制限できます。 レジストリーの IAM ポリシーをカスタマイズする前に IBM Cloud で IBM Cloud Container Registry IAM ポリシーを有効にしておく必要があります。

コンソールからの API キーの作成

コンソールから IBM Cloud IAM の API キーを作成するには、以下の手順を実行します。

1. アクセス (IAM) の概要を起動します。

2. **「API キー」**を選択します。

3. **「IBM Cloud API キーの作成」**をクリックします。

4. API キーの名前と説明 (オプション) を入力して**「作成」**をクリックします。

5. API キーをコピーするか、「ダウンロード」をクリックして保存します。

   この API キーは再表示できないため、必ず安全な場所に記録してください。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

CLI を使用した API キーの作成

CLI で IBM Cloud IAM API キーを作成するには、iam api-key-create コマンドを実行します。 例えば、「cliapikey」というAPIキーを「My CLI API key」という記述で作成し、「key_file」というファイルに保存するには、以下のコマンドを実行する：

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

キーをファイルに保存しないことを選択した場合は、作成時に表示される API キーを記録する必要があります。 後で取得することはできません。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

コンソールを使用したレジストリー・アクセス権限の追加

始めに、プロジェクトを作成します。

1. プロジェクトが'アクティブステータスになったら、'Code Engineプロジェクトのページでプロジェクト名をクリックします。
2. 「コンポーネント」ページで、**「シークレットおよび構成マップ (Secrets and configmaps)」**をクリックします。
3. 「シークレットおよび構成マップ (Secrets and configmaps)」ページで**「作成」**をクリックして、シークレットを作成します。
4. 「シークレットまたは構成マップの作成 (Create secret or configmap)」ページで、以下の手順を実行します。
   1. 「レジストリー・シークレット」 を選択し、 「次へ」 をクリックします。
   2. 例えば、'mysecret-registry など。
   3. このシークレットのターゲット・レジストリー ( IBM Cloud Container Registry や Docker Hub など) を指定します。
   4. レジストリーの場所を指定します。
   5. ユーザー名を指定します。 このシークレットが IBM Cloud Container Registry用である場合、ユーザー名は iamapikey です。 このシークレットが Docker Hub 用の場合は、 Docker ID です。
   6. ユーザー名の資格情報を入力します。 IBM Cloud Container Registryでは、IAM API キーを使用します。 Docker Hub の場合は、ご使用の Docker Hub パスワードかアクセス・トークンを使用できます。 その他のターゲット・レジストリーの場合は、ユーザー名のパスワードまたは API キーを指定します。
   7. **「作成」**をクリックして、シークレットを作成します。

シークレットがコンソールから作成されたので、シークレットとコンフィグマップページに行き、定義されたシークレットとコンフィグマップのリストを見る。 必要に応じて、フィルターを適用してリストをカスタマイズすることができます。

コンテナー・レジストリーへのアクセス権限は、アプリケーションまたはジョブを作成するとき、またはイメージを作成するときに追加できます。 イメージの構成をクリックし、実行するコンテナー・イメージを指定します。これには、イメージが保管されているレジストリーと、イメージの取得に使用するレジストリー・アクセスが含まれます。

CLI を使用したレジストリー・アクセス権限の追加

CLI バージョン 1.42.0以降、CLI でのシークレットの定義と操作は、 secret コマンド・グループの下で統一されています。 ibmcloud ce secret コマンドを参照してください。 秘密のカテゴリー ( basic_auth、 generic、 ssh、 tls、 registry など) を指定するには、 --format オプションを使用します。 registry コマンド・グループは引き続き使用できますが、統一された secret コマンド・グループを活用してください。 コンテナー・レジストリーにアクセスするためのシークレットを作成するには、 ibmcloud ce secret create --format registry コマンドを使用します。 Code Engineでのシークレットの処理について詳しくは、 シークレットの処理 を参照してください。

CLIでIBM Cloud Container RegistryまたはDockerHubアクセスを追加するには、「secret create --format registry コマンドを使用します。 このコマンドは、レジストリ・シークレットの名前、レジストリ・サーバーのURL、レジストリ・サーバーにアクセスするためのユーザー名とパスワード情報を必要とし、その他のオプションの引数も使用できる。 オプションの完全なリストについては、「 ibmcloud ce secret create コマンドを参照のこと。

例えば、以下のコマンドは、「us.icr.io レジストリ・サーバー上にある「myregistry」というIBM Cloud Container Registryインスタンスへのレジストリ・アクセスを作成する：

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

出力例

Creating registry secret 'myregistry'...
OK

次の表は、この例の「secret create --format registry コマンドで使用されるオプションをまとめたものである。 コマンドとそのオプションの詳細については、「ibmcloud ce secret create コマンドを参照のこと。

コンソールからのサービス ID を使用した Container Registry へのアクセス権限の付与

IBM Cloud Container Registryとの間でイメージをプルまたはプッシュするには、サービス ID を作成し、サービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

CLI を使用した Container Registry へのアクセス権限の付与

別のアカウントでIBM Cloud Container Registryからイメージをプルするには、サービス ID を作成し、そのサービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

1. iam service-id-create コマンドを使用して、イメージ・プル・シークレットの IAM ポリシーと API キー資格情報のために使用するプロジェクトの IBM Cloud IAM サービス ID を作成します。 必ず、後でサービス ID を思い出せるように、プロジェクト名などを含む説明を付けてください。 iam service-id-create コマンドとそのオプションの全リストについては、ibmcloud iam service-id-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id という名前のサービス ID を Service ID for IBM Cloud Container Registry in Code Engine project myproject という説明を付けて作成します。

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. iam service-policy-create コマンドを使用して、IBM Cloud へのアクセス権限を付与するカスタム IBM Cloud Container Registry IAM ポリシーを、サービス ID に対して作成します。 iam service-policy-create コマンドとそのオプションの全リストについては、ibmcloud iam service-policy-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id の役割を持つ Reader というサービス ID のポリシーを作成します。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   次の表は、この例の「iam service-policy-create コマンドで使用されるオプションをまとめたものである。 コマンドとそのオプションの詳細については、「ibmcloud iam service-policy-create コマンドを参照のこと。

   iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <service_access_role>	必須。 サービス ID のアクセス権の有効範囲を指定するために、IBM Cloud Container Registry の サービス・アクセス役割を入力します。 指定できる値は、Reader、Writer、Manager です。 イメージをプルする場合は、Reader アクセス権限で十分です。 詳しくは、イメージ・レジストリーに対する権限の設定を参照してください。
   --service-name <container-registry>	必須。 container-registry を入力して、IBM Cloud Container Registry の IAM ポリシーを作成します。

3. iam-identity コマンドを使用して、iam service-policy-create サービスへのアクセスを許可するカスタム・サービス・ポリシーを作成し、Code Engine がサービス ID の API キーを取得できるようにします。

   例えば、codeengine-myproject-id の役割を持つ Operator というサービス ID のポリシーを作成するには、次のようにします。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   次の表は、この例の「iam service-policy-create コマンドで使用されるオプションをまとめたものである。 コマンドとそのオプションの詳細については、「ibmcloud iam service-policy-create コマンドを参照のこと。

   iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <platform_access_role>	必須。 サービス ID のアクセス権限の有効範囲を指定するために、プラットフォーム・アクセス役割を入力します。 指定可能な値は、Administrator、Editor、Operator、および Viewerです。 Operator 以上をサービス ID に指定する必要があります。
   --service-name <iam-identity>	必須。 iam-identity を入力し、IAM Identity サービスの IAM ポリシーを作成します。

4. iam service-api-key-create コマンドで、サービス ID の API キーを作成します。 iam service-api-key-create コマンドとそのオプションの全リストについては、ibmcloud iam service-api-key-create コマンドを参照してください。 サービス ID に似た名前を API キーに付け、以前に作成したサービス IDcodeengine-<project_name>-idを含めます。 必ず、後でキーを思い出せるように説明を付けてください。

   例えば、以下のコマンドは、「codeengine-myproject-id サービスIDに対して「codeengine-myproject-key」と呼ばれるキーを作成し、「API key for service ID codeengine-myproject-id for Code Engine myproject」と記述する：

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   出力例

   Please preserve the API key! It cannot be retrieved after it's created.
   
   Name          codeengine-myproject-key
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh
   Created At    2019-02-01T19:06+0000
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1
   Locked        false
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4
   

   この API キーは再表示できないため、必ず安全な場所に記録してください。

   これで、サービス ID および作成された API キー用のアクセス・ポリシーが設定されたので、Code Engineへのアクセス権限の追加を使用してコンテナー・レジストリーからイメージをプルできます。