我需要什麼權限?

若要判定您需要的權限，請考量下列情況:

• 當您部署應用程式或執行工作時，Code Engine 可以自動存取您自己帳戶中的映像檔。

• 如果您想要從共用帳戶、其他 IBM Cloud 帳戶或專用 Docker 帳戶存取映像檔，您必須獲指派適當的存取權。

• 當您部署應用程式或執行工作且登錄使用帳戶中的 IBM Cloud Container Registry 名稱空間時，您可以讓 Code Engine 自動為您建立及管理登錄密碼，只要您的帳戶具有下表中說明的必要許可權即可。

  • 在主控台中，此登錄密鑰稱為 Code Engine managed secret。 當您使用 配置映像檔 或 指定建置詳細資料 工作流程，以使用 Code Engine來建置映像檔時，可以使用此選項。
  • 在 CLI 中，此登錄密碼的格式為 ce-auto-icr-private-<region>。 當您指定 --build-source 選項，但未在 app create、app update、job create 或 job update 指令中提供 --registry-secret 選項時，會自動建立此登錄密鑰。

我可以使用服務 ID 嗎?

是，您可以建立服務 ID 並指派其權限。 請注意，當您自動建立 IBM Cloud Container Registry的存取權時，Code Engine 使用者介面也會自動建立服務 ID。 請勿刪除此服務 ID，因為您將無法存取登錄中的映像檔。

我可以存取不同登錄中的映像檔嗎?

是的！ 作法如下。

我可以限制對特定地區登錄甚至單一名稱空間的取回存取權嗎?

是，您可以編輯服務 ID 的現有 IAM 原則，以將 Reader 服務存取角色限制為該地區登錄或登錄資源（例如名稱空間）。 必須為 IBM Cloud 啟用 IBM Cloud Container Registry IAM 原則後，才能自訂登錄 IAM 原則。

透過控制台建立 API 金鑰

若要從主控台建立 IBM Cloud IAM API 金鑰，

1. 啟動 存取權(IAM)概觀。

2. 選取 API 金鑰。

3. 按一下建立 IBM Cloud API 金鑰。

4. 為您的 API 金鑰輸入名稱及（可選）說明，然後點擊「建立」。

5. 複製 API 金鑰，或按下載以儲存它。

   您將無法再次看到此 API 金鑰，因此請務必將它記錄在安全的地方。

既然您已建立 API 金鑰，請 將它儲存為登錄存取權。

使用 CLI 建立 API 金鑰

若要使用 CLI 建立IBM Cloud IAM API 金鑰，請執行 iam api-key-create 指令。 例如，要建立一個名為 cliapikey 且描述為 My CLI API key 的 API 金鑰並將其儲存到名為 key_file 的檔案中，請執行以下命令：

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

如果您選擇不將金鑰儲存至檔案，則必須記錄建立金鑰時所顯示的 API 金鑰。 此後無法擷取它。

既然您已建立 API 金鑰，請 將它儲存為登錄存取權。

從主控台新增登錄存取權

開始之前，請 建立專案。

1. 在專案處於 作用中 狀態之後，請在 Code Engine「專案」頁面上按一下專案的名稱。
2. 從「元件」頁面中，按一下 密鑰及配置對映。
3. 從「密鑰及配置對映」頁面中，按一下 建立 以建立密鑰。
4. 從「建立密鑰或 configmap」頁面中，完成下列步驟:
   1. 選取 登錄密碼，然後按 下一步。
   2. 提供名稱; 例如 mysecret-registry。
   3. 指定此密鑰的目標登錄，例如 IBM Cloud Container Registry 或 Docker Hub。
   4. 指定登錄的位置。
   5. 指定使用者名稱。 如果此密鑰適用於 IBM Cloud Container Registry，則使用者名稱為 iamapikey。 如果此密鑰適用於 Docker Hub，則它是您的 Docker ID。
   6. 輸入使用者名稱的認證。 對於 IBM Cloud Container Registry，請使用 IAM API 金鑰。 若為 Docker Hub，您可以使用 Docker Hub 密碼或 存取記號。 若為其他目標登錄，請指定使用者名稱的密碼或 API 金鑰。
   7. 點擊「建立」以建立該密鑰。

既然已從主控台建立密鑰，請移至「密鑰及配置對映」頁面，以檢視已定義密鑰及配置對映的清單。 您可以套用過濾器來自訂清單以符合您的需求。

您可以在建立應用程式或工作時，或在建置映像檔時，新增儲存器登錄的存取權。 按一下 配置映像檔，並指定要執行的容器映像檔，包括儲存映像檔的登錄，以及用來擷取映像檔的 登錄存取權。

使用 CLI 新增登錄存取權

自 CLI 版本 1.42.0 起，在 CLI 中定義和使用機密已統一歸入 secret 指令群組下進行統一管理。 請參閱 ibmcloud ce secret 指令。 使用 --format 選項指定秘密的類別，例如 basic_auth, generic, hmac, ssh, tls，或 registry。 雖然您可以繼續使用 registry 命令群組的同時，利用統一的 secret 命令群組的優勢。 若要建立存取容器註冊表的密碼，請使用 ibmcloud ce secret create --format registry 命令。 若要進一步了解如何在 Code Engine 中處理機密資料，請參閱 「處理機密資料」。

若要透過 CLI 新增對 IBM Cloud Container Registry 或 Docker Hub 的存取權限，請使用 secret create --format registry 指令。 此指令需要登錄機密的名稱、登錄伺服器的 URL，以及存取登錄伺服器的使用者名稱和密碼資訊，同時也允許其他選填參數。 如需選項的完整清單，請參閱 ibmcloud ce secret create 指令。

例如，下列指令會建立對 us.icr.io 登錄伺服器上稱為 myregistry 的 IBM Cloud Container Registry 實例的登錄存取權:

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

輸出範例

Creating registry secret 'myregistry'...
OK

下表彙總在此範例中與 secret create --format registry 指令搭配使用的選項。 如需指令及其選項的相關資訊，請參閱 ibmcloud ce secret create 指令。

從主控台使用服務 ID 來授權存取 Container Registry

若要從 IBM Cloud Container Registry取回或推送映像檔，您必須建立服務 ID，建立服務 ID 的存取原則，然後建立 API 金鑰以儲存認證。

使用 CLI 授權存取 Container Registry

若要在其他帳戶中從 IBM Cloud Container Registry 擷取圖片，您必須建立一個服務 ID、為該服務 ID 建立存取政策，然後建立一個 API 金鑰來儲存您的憑證。

1. 請為您的專案建立一個 IBM Cloud 的 IAM 服務 ID，該 ID 將用於影像拉取密鑰中的 IAM 政策及 API 金鑰憑證，並使用 iam service-id-create 命令。 請務必為服務 ID 設定一個有助於您日後檢索該服務 ID 的描述，例如在其中包含專案名稱。 如需 iam service-id-create 指令及其選項的完整清單，請參閱 ibmcloud iam service-id-create 指令。

   例如，下列指令會建立稱為 codeengine-myproject-id 且說明為 Service ID for IBM Cloud Container Registry in Code Engine project myproject 的服務 ID:

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. 針對您的服務 ID 建立自訂 IBM Cloud IAM 原則，以使用 iam service-policy-create 指令來授與對 IBM Cloud Container Registry 的存取權。 如需 iam service-policy-create 指令及其選項的完整清單，請參閱 ibmcloud iam service-policy-create 指令。

   例如，下列指令會為 codeengine-myproject-id 服務 ID 建立角色為 Reader 的原則:

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   下表彙總在此範例中與 iam service-policy-create 指令搭配使用的選項。 如需指令及其選項的相關資訊，請參閱 ibmcloud iam service-policy-create 指令。

   iam service-policy-create 指令元件

   選項	說明
   <service_ID>	必要。 取代為您先前建立的 codeengine-<project_name>-id 服務 ID。
   --roles <service_access_role>	必要。 輸入 IBM Cloud Container Registry 的服務存取角色，以限定服務 ID 存取權範圍。 可能值為 Reader、Writer 及 Manager。 如果您要取回映像檔，則 Reader 存取權已足夠。 如需相關資訊，請參閱 設定映像檔登錄的權限。
   --service-name <container-registry>	必要。 輸入 container-registry，以建立 IBM Cloud Container Registry的 IAM 原則。

3. 建立自訂服務原則以容許存取 iam-identity 服務，以便 Code Engine 可以使用 iam service-policy-create 指令來擷取服務 ID 的 API 金鑰。

   例如，建立角色為 Operator 之 codeengine-myproject-id 服務 ID 的原則:

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   下表彙總在此範例中與 iam service-policy-create 指令搭配使用的選項。 如需指令及其選項的相關資訊，請參閱 ibmcloud iam service-policy-create 指令。

   iam service-policy-create 指令元件

   選項	說明
   <service_ID>	必要。 取代為您先前建立的 codeengine-<project_name>-id 服務 ID。
   --roles <platform_access_role>	必要。 請輸入您要將服務 ID 存取權限限定於其範圍內的平台存取角色。 可能的值包括：Administrator、Editor、Operator 以及 Viewer。 您的服務 ID 需要 Operator 或更高版本。
   --service-name <iam-identity>	必要。 輸入 iam-identity 以建立 IAM 識別服務的 IAM 原則。

4. 使用 iam service-api-key-create 指令為服務 ID 建立 API 金鑰。 如需 iam service-api-key-create 指令及其選項的完整清單，請參閱 ibmcloud iam service-api-key-create 指令。 請將 API 金鑰命名為與您的服務 ID 相似的名稱，並包含您先前建立的服務 ID：codeengine-<project_name>-id。 請務必提供 API 金鑰的說明，以協助您稍後擷取該金鑰。

   例如，下列指令會針對 codeengine-myproject-id 服務 ID 建立一個稱為 codeengine-myproject-key 的金鑰，其說明為 API key for service ID codeengine-myproject-id for Code Engine myproject:

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   輸出範例

   Please preserve the API key! It cannot be retrieved after it's created.
   Name          codeengine-myproject-key
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh
   Created At    2019-02-01T19:06+0000
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1
   Locked        false
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4
   

   您將無法再次看到此 API 金鑰，因此請務必將它記錄在安全的地方。

   既然您已備妥服務 ID 及所建立 API 金鑰的存取原則，您可以 新增存取權至 Code Engine，以從容器登錄取回映像檔。