我需要哪些权限?

要确定所需的权限，请考虑以下情况:

• 部署应用程序或运行作业时，Code Engine 可以自动访问您自己帐户中的映像。

• 如果要从共享帐户，其他 IBM Cloud 帐户或专用 Docker 帐户访问映像，那么必须为您分配正确的访问权限。

• 当您部署应用程序或运行作业，并且注册表使用帐户中的 IBM Cloud Container Registry 名称空间时，只要您的帐户具有下表中描述的必需许可权，就可以让 Code Engine 自动为您创建和管理注册表私钥。

  • 在控制台中，此注册表私钥称为 Code Engine managed secret。 当您使用 配置映像 或 指定构建详细信息 工作流程来使用 Code Engine构建映像时，此选项可用。
  • 在 CLI 中，此注册表私钥的格式为 ce-auto-icr-private-<region>。 当您指定 --build-source 选项时，会自动创建此注册表私钥，但不会为 --registry-secret 选项提供 app create，app update，job create 或 job update 命令。

我可以使用服务标识吗?

是，您可以创建服务标识并为其分配权限。 请注意，当您自动创建对 IBM Cloud Container Registry的访问权时，Code Engine UI 也会自动创建服务标识。 请勿删除此服务标识，因为您将失去对注册表中映像的访问权。

我能否访问其他注册表中的映像?

是的！ 以下是操作方式。

我能否限制对特定区域注册表或甚至单个名称空间的拉取访问权?

可以，可以编辑服务标识的现有 IAM 策略，以将读取者服务访问角色限制为只能访问该区域注册表或注册表资源（例如，名称空间）。 必须为 IBM Cloud 启用 IBM Cloud Container Registry IAM 策略后，才能定制注册表 IAM 策略。

通过控制台创建 API 密钥

要从控制台创建 IBM Cloud IAM API 密钥，

1. 启动 Access(IAM)概述。

2. 选择 API 密钥。

3. 单击创建 IBM Cloud API 密钥。

4. 为您的 API 密钥输入名称和可选描述，然后点击 “创建”。

5. 复制 API 密钥或单击“下载”以保存该密钥。

   您将无法再次看到此 API 密钥，因此请确保将其记录在安全位置。

既然您已创建 API 密钥，请 将其另存为注册表访问权。

使用 CLI 创建 API 密钥

要使用 CLI 创建“IBM CloudIAM API 密钥，请运行”iam api-key-create 命令。 例如，要创建一个名为 "cliapikey、描述名为 "My CLI API key 的 API 密钥，并将其保存到名为 "key_file 的文件中，请运行以下命令：

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

如果选择不将密钥保存到文件中，那么必须记录创建密钥时显示的 API 密钥。 以后将无法检索。

既然您已创建 API 密钥，请 将其另存为注册表访问权。

从控制台添加注册表访问权

开始之前，请 创建项目。

1. 在项目处于 活动 状态后，在 Code Engine "项目" 页面上单击项目的名称。
2. 在“组件”页面中，单击 私钥和配置映射。
3. 从“私钥和配置映射”页面中，单击 创建 以创建私钥。
4. 从“创建私钥或配置映射”页面，完成以下步骤:
   1. 选择 注册表私钥，然后单击 下一步。
   2. 提供名称; 例如，mysecret-registry。
   3. 指定此私钥的目标注册表，例如 IBM Cloud Container Registry 或 Docker Hub。
   4. 指定注册表的位置。
   5. 指定用户名。 如果此私钥适用于 IBM Cloud Container Registry，那么用户名为 iamapikey。 如果此私钥适用于 Docker Hub，那么它是您的 Docker 标识。
   6. 输入用户名的凭证。 对于 IBM Cloud Container Registry，请使用 IAM API 密钥。 对于 Docker Hub，可以使用 Docker Hub 密码或 访问令牌。 对于其他目标注册表，请指定用户名的密码或 API 密钥。
   7. 点击 “创建”以生成密钥。

现在，您的私钥是从控制台创建的，请转至“私钥和配置映射”页面以查看已定义的私钥和配置映射的列表。 您可以应用过滤器来定制列表以满足您的需求。

在创建应用程序或作业时，或者在构建映像时，可以添加对容器注册表的访问权。 单击 配置映像 并指定要运行的容器映像，包括用于存储映像的注册表以及用于检索映像的 注册表访问权。

使用 CLI 添加注册表访问权

从 CLI 版本 1.42.0 开始，在 CLI 中定义和使用密钥的功能已统一到 secret 命令组下统一进行。 请参阅 ibmcloud ce secret 命令。 使用 --format 选项指定秘密类别，如 basic_auth, generic, hmac, ssh, tls 或 registry。 虽然可以继续使用 registry 命令组的同时，还可以利用统一的 secret 命令组的优势。 要创建一个访问容器注册表的秘密，请使用 ibmcloud ce secret create --format registry 命令。 如需进一步了解如何在 Code Engine 中使用密钥，请参阅 “使用密钥”。

若要通过 CLI 添加对 IBM Cloud Container Registry 或 Docker Hub 的访问权限，请使用 secret create --format registry 命令。 该命令需要注册表密钥的名称、注册表服务器的 URL，以及访问注册表服务器所需的用户名和密码信息，同时还支持其他可选参数。 有关选项的完整列表，请参阅 ibmcloud ce secret create 命令。

例如，以下命令将创建对 us.icr.io 注册表服务器上名为 myregistry 的 IBM Cloud Container Registry 实例的注册表访问权:

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

示例输出

Creating registry secret 'myregistry'...
OK

下表概述了此示例中与 secret create --format registry 命令配合使用的选项。 有关该命令及其选项的更多信息，请参阅 ibmcloud ce secret create 命令。

使用控制台中的服务标识授权访问 Container Registry

要从 IBM Cloud Container Registry拉取或推送映像，必须创建服务标识，为服务标识创建访问策略，然后创建 API 密钥以存储凭证。

使用 CLI 授权访问 Container Registry

若要在其他账户中从 IBM Cloud Container Registry 获取图片，您必须创建一个服务 ID，为该服务 ID 创建访问策略，然后创建一个 API 密钥来存储您的凭据。

1. IBM Cloud 使用 iam service-id-create 命令。 请务必为服务 ID 添加一个有助于您日后检索该服务 ID 的描述，例如包含项目名称。 有关 iam service-id-create 命令及其选项的完整列表，请参阅 ibmcloud iam service-id-create 命令。

   例如，以下命令使用描述 Service ID for IBM Cloud Container Registry in Code Engine project myproject 创建名为 codeengine-myproject-id 的服务标识:

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. 使用 iam service-policy-create 命令为服务标识创建定制 IBM Cloud IAM 策略，以授予对 IBM Cloud Container Registry 的访问权。 有关 iam service-policy-create 命令及其选项的完整列表，请参阅 ibmcloud iam service-policy-create 命令。

   例如，以下命令为具有 Reader 角色的 codeengine-myproject-id 服务标识创建策略:

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   下表概述了此示例中与 iam service-policy-create 命令配合使用的选项。 有关该命令及其选项的更多信息，请参阅 ibmcloud iam service-policy-create 命令。

   iam 服务策略创建命令组件

   选项	描述
   <service_ID>	必需。 替换为先前创建的 codeengine-<project_name>-id 服务标识。
   --roles <service_access_role>	必需。 输入要将服务标识访问权的作用域限定到的 IBM Cloud Container Registry 服务访问角色。 可能的值为 Reader（读取者）、Writer（写入者）和 Manager（管理者）。 如果要拉取映像，那么 Reader 访问权已足够。 有关更多信息，请参阅 设置映像注册表的权限。
   --service-name <container-registry>	必需。 输入 container-registry 以创建 IBM Cloud Container Registry的 IAM 策略。

3. 创建定制服务策略以允许访问 iam-identity 服务，以便 Code Engine 可以使用 iam service-policy-create 命令检索服务标识的 API 密钥。

   例如，为具有 Operator 角色的 codeengine-myproject-id 服务标识创建策略:

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   下表概述了此示例中与 iam service-policy-create 命令配合使用的选项。 有关该命令及其选项的更多信息，请参阅 ibmcloud iam service-policy-create 命令。

   iam 服务策略创建命令组件

   选项	描述
   <service_ID>	必需。 替换为先前创建的 codeengine-<project_name>-id 服务标识。
   --roles <platform_access_role>	必需。 输入您希望将服务 ID 访问权限限定在其范围内的平台访问角色。 可能的值为 Administrator、Editor、Operator 和 Viewer。 您的服务标识需要 Operator 或更高版本。
   --service-name <iam-identity>	必需。 输入 iam-identity 以创建 IAM 标识服务的 IAM 策略。

4. 使用 iam service-api-key-create 命令为服务标识创建 API 密钥。 有关 iam service-api-key-create 命令及其选项的完整列表，请参阅 ibmcloud iam service-api-key-create 命令。 请将 API 密钥命名为与您的服务 ID 类似的名称，并包含您之前创建的服务 ID：codeengine-<project_name>-id。 请确保为 API 密钥提供描述，以帮助您日后检索该密钥。

   例如，以下命令为 codeengine-myproject-id 服务标识创建名为 codeengine-myproject-key 的密钥，其描述为 API key for service ID codeengine-myproject-id for Code Engine myproject:

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   示例输出

   Please preserve the API key! It cannot be retrieved after it's created.
   Name          codeengine-myproject-key
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh
   Created At    2019-02-01T19:06+0000
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1
   Locked        false
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4
   

   您将无法再次看到此 API 密钥，因此请确保将其记录在安全位置。

   现在，您已针对服务标识和创建的 API 密钥实施了访问策略，您可以 添加对 Code Engine 的访问权，以从容器注册表中提取映像。