어떤 권한이 필요하나요?

필요한 권한을 판별하려면 다음과 같은 경우를 고려하십시오.

• 앱을 배치하거나 작업을 실행하는 경우 Code Engine에서 사용자 고유 계정의 이미지에 자동으로 액세스할 수 있습니다.

• 공유 계정, 기타 IBM Cloud 계정 또는 개인용 Docker 계정의 이미지에 액세스할 경우 적절한 액세스 권한이 지정되어야 합니다.

• 앱을 배포하거나 작업을 실행할 때 레지스트리가 계정에 있는 IBM Cloud Container Registry 네임스페이스를 사용하는 경우 다음 표에 설명된 대로 계정에 필요한 권한이 있는 경우 Code Engine 에서 자동으로 레지스트리 비밀을 만들고 관리하도록 할 수 있습니다.

  • 콘솔에서 이 레지스트리 시크릿을 Code Engine managed secret 라고 합니다. 이 옵션은 Code Engine으로 이미지를 빌드하기 위해 이미지 구성 또는 빌드 세부사항 지정 워크플로우를 사용하는 경우에 사용할 수 있습니다.
  • CLI에서 이 레지스트리 비밀은 ce-auto-icr-private-<region> 형식입니다. 이 레지스트리 시크릿은 --build-source 옵션을 지정하지만 --registry-secret 옵션을 app create, app update, job create 또는 job update 명령과 함께 제공하지 않는 경우 자동으로 작성됩니다.

서비스 ID를 사용할 수 있나요?

예, 서비스 ID를 작성하고 권한을 지정할 수 있습니다. Code Engine에 대한 액세스를 자동으로 작성하면 서비스 ID가 IBM Cloud Container Registry UI에서도 자동으로 작성됩니다. 레지스트리에서 이미지에 액세스할 수 없더라도 이 서비스 ID를 삭제하지 마십시오.

다른 레지스트리에 있는 이미지에 액세스할 수 있나요?

예. 여기를 참조하십시오.

특정 지역 레지스트리 또는 단일 네임스페이스에 대한 풀 액세스를 제한할 수 있나요?

예, 독자 서비스 액세스 역할을 네임스페이스와 같은 레지스트리 리소스 또는 해당 지역 레지스트리로 제한하는 기존 서비스 ID의 IAM 정책을 편집할 수 있습니다. 레지스트리 IAM 정책을 사용자 정의하려면 먼저 IBM Cloud에 대한 IBM Cloud Container Registry IAM 정책을 사용으로 설정해야 합니다.

콘솔에서 API 키 작성

콘솔에서 IBM Cloud IAM API 키를 작성하려면 다음을 수행하십시오.

1. 액세스(IAM) 개요를 실행하십시오.

2. API 키를 선택하십시오.

3. IBM Cloud API 키 작성을 클릭하십시오.

4. API 키에 대한 이름과 선택적 설명을 입력하고 작성을 클릭하십시오.

5. API 키를 복사하거나 다운로드를 클릭하여 저장하십시오.

   이 API 키는 다시 볼 수 없으므로 안전한 장소에 기록해 둬야 합니다.

이제 API 키를 작성했으므로 레지스트리 액세스로 저장하십시오.

CLI를 사용하여 API 키 작성

CLI로 IBM Cloud IAM API 키를 작성하려면 iam api-key-create 명령을 실행하십시오. 예를 들어 My CLI API key 설명이 포함된 cliapikey 라는 API 키를 생성하고 key_file 라는 파일에 저장하려면 다음 명령을 실행합니다:

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

키를 파일에 저장하지 않도록 선택한 경우 키를 작성할 때 표시되는 API 키를 기록해 두어야 합니다. 나중에 검색할 수 없습니다.

이제 API 키를 작성했으므로 레지스트리 액세스로 저장하십시오.

콘솔에서 레지스트리 액세스 권한 추가

시작하기 전에 프로젝트를 작성하십시오.

1. 프로젝트가 활성 상태가 되면 Code Engine 프로젝트 페이지에서 프로젝트 이름을 클릭합니다.
2. 컴포넌트 페이지에서 시크릿 및 configmap을 클릭하십시오.
3. 시크릿 및 configmap 페이지에서 작성을 클릭하여 시크릿을 작성하십시오.
4. 시크릿 또는 configmap 작성 페이지에서 다음 단계를 완료하십시오.
   1. 레지스트리 시크릿을 선택하고 다음을 클릭하십시오.
   2. 이름을 입력합니다(예: mysecret-registry).
   3. 이 시크릿의 대상 레지스트리를 지정하십시오 (예: IBM Cloud Container Registry 또는 Docker Hub).
   4. 레지스트리의 위치를 지정하십시오.
   5. 사용자 이름을 지정합니다. 이 시크릿이 IBM Cloud Container Registry에 대한 것인 경우 사용자 이름은 iamapikey 입니다. 이 시크릿이 Docker 허브에 대한 것이면 Docker ID입니다.
   6. 사용자 아이디에 대한 자격 증명을 입력합니다. IBM Cloud Container Registry의 경우 IAM API키를 사용하십시오. Docker Hub의 경우 Docker Hub 비밀번호 또는 액세스 토큰을 사용할 수 있습니다. 기타 대상 레지스트리의 경우 사용자 이름에 대한 비밀번호 또는 API키를 지정하십시오.
   7. 작성을 클릭하여 시크릿을 작성하십시오.

이제 콘솔에서 비밀번호가 만들어졌으므로 비밀번호 및 구성 맵 페이지로 이동하여 정의된 비밀번호 및 구성 맵 목록을 확인합니다. 필터를 적용하여 필요에 맞게 목록을 사용자 정의할 수 있습니다.

애플리케이션 또는 작업을 작성하거나 이미지를 빌드할 때 컨테이너 레지스트리에 대한 액세스 권한을 추가할 수 있습니다. 이미지 구성을 클릭하고 이미지가 저장된 레지스트리와 이미지 검색에 사용할 레지스트리 액세스를 포함하여 실행할 컨테이너 이미지를 지정하십시오.

CLI를 사용하여 레지스트리 액세스 권한 추가

CLI 버전 1.42.0 부터는 CLI에서 비밀 번호를 정의하고 작업하는 것이 secret 명령 그룹으로 통합됩니다. ibmcloud ce secret 명령을 참조하십시오. --format 옵션을 사용하여 basic_auth, generic, hmac, ssh, tls 또는 registry 과 같은 비밀 카테고리를 지정합니다. 명령 그룹을 계속 사용할 수 있지만 registry 명령 그룹을 계속 사용할 수 있지만, 통합된 secret 명령 그룹을 활용하세요. 컨테이너 레지스트리에 액세스하기 위한 비밀번호를 만들려면 ibmcloud ce secret create --format registry 명령을 사용합니다. Code Engine 에서 비밀 번호로 작업하는 방법에 대해 자세히 알아보려면 비밀 번호로 작업하기를 참조하세요.

CLI를 사용하여 IBM Cloud Container Registry 또는 Docker 허브 액세스를 추가하려면 secret create --format registry 명령을 사용합니다. 이 명령에는 레지스트리 비밀 이름, 레지스트리 서버의 URL, 레지스트리 서버에 액세스하기 위한 사용자 이름 및 비밀번호 정보가 필요하며 다른 선택적 인수도 사용할 수 있습니다. 전체 옵션 목록을 보려면 ibmcloud ce secret create 명령을 참조하세요.

IBM Cloud Container Registry 예를 들어 다음 명령은 us.icr.io 레지스트리 서버에 있는 myregistry 인스턴스에 대한 레지스트리 액세스를 생성합니다:

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

출력 예

Creating registry secret 'myregistry'...
OK

다음 표에는 이 예제에서 사용된 secret create --format registry 명령과 함께 사용된 옵션을 요약한 표입니다. 명령 및 해당 옵션에 대한 자세한 내용은 ibmcloud ce secret create 명령을 참조하세요.

콘솔에서 서비스 ID를 사용하여 Container Registry에 대한 액세스 권한 부여

이미지를 IBM Cloud Container Registry에서 가져오거나 푸시하려면 서비스 ID를 작성하고 서비스 ID에 대한 액세스 정책을 작성한 다음 인증 정보를 저장할 API 키를 작성해야 합니다.

CLI를 사용하여 Container Registry에 대한 액세스 권한 부여

이미지를 다른 계정의 IBM Cloud Container Registry에서 가져오려면 서비스 ID를 작성하고 서비스 ID에 대한 액세스 정책을 작성한 다음 인증 정보를 저장할 API 키를 작성해야 합니다.

1. iam service-id-create 명령을 사용하여 이미지 가져오기 시크릿의 IAM 정책 및 API 키 인증 정보에 사용되는 프로젝트에 대해 IBM Cloud IAM 서비스 ID를 작성하십시오. 나중에 서비스 ID를 검색하는 데 도움이 되는 설명(예: 프로젝트 이름 포함)을 서비스 ID에 제공해야 합니다. iam service-id-create 명령 및 해당 옵션에 대한 전체 목록은 ibmcloud iam service-id-create 명령을 참조하십시오.

   예를 들면, 다음 명령은 codeengine-myproject-id라는 서비스 ID를 Service ID for IBM Cloud Container Registry in Code Engine project myproject라는 설명과 함께 작성합니다.

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. iam service-policy-create 명령을 사용하여 IBM Cloud에 대한 액세스 권한을 부여하는 서비스 ID에 대해 사용자 정의 IBM Cloud Container Registry IAM 정책을 작성하십시오. iam service-policy-create 명령 및 해당 옵션에 대한 전체 목록은 ibmcloud iam service-policy-create 명령을 참조하십시오.

   예를 들면, 다음 명령은 codeengine-myproject-id 역할이 있는 Reader 서비스 ID에 대한 정책을 작성합니다.

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   다음 표에는 이 예제에서 사용된 iam service-policy-create 명령과 함께 사용된 옵션을 요약한 표입니다. 명령 및 해당 옵션에 대한 자세한 내용은 ibmcloud iam service-policy-create 명령을 참조하세요.

   iAM 서비스-정책-생성 명령 구성 요소

   옵션	설명
   <service_ID>	필수. 앞에서 작성한 codeengine-<project_name>-id 서비스 ID로 대체하십시오.
   --roles <service_access_role>	필수. 서비스 ID의 액세스 범위를 지정할 IBM Cloud Container Registry에 대한 서비스 액세스 역할을 입력하십시오. 가능한 값은 Reader, Writer, Manager입니다. 이미지를 가져오는 경우 Reader 권한으로 충분합니다. 자세한 정보는 이미지 레지스트리의 권한 설정을 참조하십시오.
   --service-name <container-registry>	필수. IBM Cloud Container Registry에 대한 IAM 정책을 작성하려면 container-registry를 입력하십시오.

3. iam-identity 명령을 사용하여 Code Engine이 서비스 ID에 대한 API 키를 검색할 수 있도록 iam service-policy-create 서비스에 대한 액세스를 허용하는 사용자 정의 서비스 정책을 작성하십시오.

   예를 들면, codeengine-myproject-id 역할이 있는 Operator 서비스 ID에 대한 정책을 작성하십시오.

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   다음 표에는 이 예제에서 사용된 iam service-policy-create 명령과 함께 사용된 옵션을 요약한 표입니다. 명령 및 해당 옵션에 대한 자세한 내용은 ibmcloud iam service-policy-create 명령을 참조하세요.

   iAM 서비스-정책-생성 명령 구성 요소

   옵션	설명
   <service_ID>	필수. 앞에서 작성한 codeengine-<project_name>-id 서비스 ID로 대체하십시오.
   --roles <platform_access_role>	필수. 서비스 ID의 액세스 범위를 지정할 플랫폼 액세스 역할을 입력하십시오. 가능한 값은 Administrator, Editor, Operator 및 Viewer입니다. 서비스 ID에는 Operator 이상이 필요합니다.
   --service-name <iam-identity>	필수. IAM ID 서비스에 대한 IAM 정책을 작성하려면 iam-identity를 입력하십시오.

4. iam service-api-key-create 명령을 사용하여 서비스 ID에 대한 API키를 작성하십시오. iam service-api-key-create 명령 및 해당 옵션에 대한 전체 목록은 ibmcloud iam service-api-key-create 명령을 참조하십시오. API 키의 이름을 서비스 ID와 유사하게 지정하고 앞에서 작성한 서비스 ID(codeengine-<project_name>-id)를 포함시키십시오. 나중에 키를 검색하는 데 도움이 되는 설명을 API 키에 제공해야 합니다.

   예를 들어 다음 명령은 codeengine-myproject-id 서비스 ID에 대해 API key for service ID codeengine-myproject-id for Code Engine myproject 설명이 포함된 codeengine-myproject-key 이라는 키를 만듭니다:

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   출력 예

   Please preserve the API key! It cannot be retrieved after it's created.
   
   Name          codeengine-myproject-key
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh
   Created At    2019-02-01T19:06+0000
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1
   Locked        false
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4
   

   이 API 키는 다시 볼 수 없으므로 안전한 장소에 기록해 둬야 합니다.

   서비스 ID 및 작성된 API 키에 대한 액세스 정책이 준비되었으므로 Code Engine에 대한 액세스를 추가하여 컨테이너 레지스트리에서 이미지를 가져올 수 있습니다.