コンテナー・レジストリーへのアクセス

どのような権限が必要ですか?

必要な権限を判別するには、以下のケースを考慮してください。

• アプリをデプロイしたりジョブを実行したりすると、Code Engine は、自分のアカウントにあるイメージに自動的にアクセスできます。

• 共有アカウント、他の IBM Cloud アカウント、またはプライベート Docker アカウントからイメージにアクセスするには、適切なアクセス権限が割り当てられている必要があります。

• アプリをデプロイしたりジョブを実行したりするときに、ご使用のアカウントに含まれている IBM Cloud Container Registry 名前空間をレジストリーが使用する場合は、アカウントに必要な権限があれば、 Code Engine が自動的にレジストリー・シークレットを作成して管理するようにすることができます。

  • コンソールでは、このレジストリー・シークレットは Code Engine managed secret と呼ばれます。 このオプションは、Code Engineを使用してイメージをビルドするためにイメージの構成ワークフローまたはビルド詳細の指定ワークフローを使用する場合に使用できます。
  • CLI では、このレジストリー・シークレットの形式は ce-auto-icr-private-<region> です。 このレジストリー・シークレットは、 --build-source オプションを指定したが、 app create、 app update、 job create、または job update コマンドで --registry-secret オプションを指定しなかった場合に自動的に作成されます。

サービス ID を使用できますか?

はい、サービス ID を作成し、それに権限を割り当てることができます。 Code Engine へのアクセス権限が自動的に作成される時点で、サービス ID も IBM Cloud Container Registry UI によって自動的に作成されることに注意してください。 このサービス ID は削除しないでください。レジストリー内のイメージへのアクセスが失われます。

別のレジストリー内のイメージにアクセスできますか?

そのとおりです! その方法は、こちらです。

特定のリージョン・レジストリーまたは単一の名前空間へのプル・アクセスを制限できますか?

はい。サービス ID の既存の IAM ポリシーを編集して、リーダーのサービス・アクセス役割をそのリージョン・レジストリーまたはレジストリー・リソース (名前空間など) に制限できます。 レジストリーの IAM ポリシーをカスタマイズする前に IBM Cloud で IBM Cloud Container Registry IAM ポリシーを有効にしておく必要があります。

コンソールからの API キーの作成

コンソールから IBM Cloud IAM の API キーを作成するには、以下の手順を実行します。

1. アクセス (IAM) の概要を起動します。

2. **「API キー」**を選択します。

3. **「IBM Cloud API キーの作成」**をクリックします。

4. API キーの名前と説明 (オプション) を入力して**「作成」**をクリックします。

5. API キーをコピーするか、「ダウンロード」をクリックして保存します。

   この API キーは再表示できないため、必ず安全な場所に記録してください。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

CLI を使用した API キーの作成

CLI で IBM Cloud IAM API キーを作成するには、iam api-key-create コマンドを実行します。 例えば、「My CLI API key」という説明を使用して cliapikey という API キーを作成し、それを key_file というファイルに保存するには、以下のコマンドを実行します。

ibmcloud iam api-key-create cliapikey -d "My CLI API key" --file key_file

キーをファイルに保存しないことを選択した場合は、作成時に表示される API キーを記録する必要があります。 後で取得することはできません。

これで API キーを作成できたので、それをレジストリー・アクセス権限として保存します。

コンソールを使用したレジストリー・アクセス権限の追加

始めに、プロジェクトを作成します。

1. プロジェクトの状況が 「アクティブ」 になったら、 Code Engine 「プロジェクト」ページでプロジェクトの名前をクリックします。
2. 「コンポーネント」ページで、**「シークレットおよび構成マップ (Secrets and configmaps)」**をクリックします。
3. 「シークレットおよび構成マップ (Secrets and configmaps)」ページで**「作成」**をクリックして、シークレットを作成します。
4. 「シークレットまたは構成マップの作成 (Create secret or configmap)」ページで、以下の手順を実行します。
   1. 「レジストリー・シークレット」 を選択し、 「次へ」 をクリックします。
   2. 名前を指定します (例: mysecret-registry)。
   3. このシークレットのターゲット・レジストリー ( IBM Cloud Container Registry や Docker Hub など) を指定します。
   4. レジストリーの場所を指定します。
   5. ユーザー名を指定します。 このシークレットが IBM Cloud Container Registry用である場合、ユーザー名は iamapikey です。 このシークレットが Docker Hub 用の場合は、 Docker ID です。
   6. ユーザー名の資格情報を入力します。 IBM Cloud Container Registryでは、IAM API キーを使用します。 Docker Hub の場合は、ご使用の Docker Hub パスワードかアクセス・トークンを使用できます。 その他のターゲット・レジストリーの場合は、ユーザー名のパスワードまたは API キーを指定します。
   7. **「作成」**をクリックして、シークレットを作成します。

これで、コンソールからシークレットが作成されたので、「シークレットと構成マップ (Secrets and configmaps)」ページに移動して、定義されているシークレットと構成マップのリストを表示します。 必要に応じて、フィルターを適用してリストをカスタマイズすることができます。

コンテナー・レジストリーへのアクセス権限は、アプリケーションまたはジョブを作成するとき、またはイメージを作成するときに追加できます。 イメージの構成をクリックし、実行するコンテナー・イメージを指定します。これには、イメージが保管されているレジストリーと、イメージの取得に使用するレジストリー・アクセスが含まれます。

CLI を使用したレジストリー・アクセス権限の追加

CLI バージョン 1.42.0以降、CLI でのシークレットの定義と操作は、 secret コマンド・グループの下で統一されています。 ibmcloud ce secret コマンドを参照してください。 秘密のカテゴリー ( basic_auth、 generic、 ssh、 tls、 registry など) を指定するには、 --format オプションを使用します。 registry コマンド・グループは引き続き使用できますが、統一された secret コマンド・グループを活用してください。 コンテナー・レジストリーにアクセスするためのシークレットを作成するには、 ibmcloud ce secret create --format registry コマンドを使用します。 Code Engineでのシークレットの処理について詳しくは、 シークレットの処理 を参照してください。

CLI で IBM Cloud Container Registry または Docker Hub アクセスを追加するには、 secret create --format registry コマンドを使用します。 このコマンドには、レジストリー・シークレットの名前、レジストリー・サーバーの URL、およびレジストリー・サーバーにアクセスするためのユーザー名とパスワードの情報が必要です。また、他のオプションの引数も使用できます。 オプションの完全なリストについては、 ibmcloud ce secret create コマンドを参照してください。

例えば、以下のコマンドは、 us.icr.io レジストリー・サーバー上にある myregistry という IBM Cloud Container Registry インスタンスへのレジストリー・アクセスを作成します。

ibmcloud ce secret create --format registry --name myregistry --server us.icr.io --username iamapikey --password API_KEY

出力例

Creating registry secret 'myregistry'...
OK

以下の表は、この例の secret create --format registry コマンドで使用されるオプションを要約しています。 コマンドとそのオプションについて詳しくは、 ibmcloud ce secret create コマンドを参照してください。

コンソールからのサービス ID を使用した Container Registry へのアクセス権限の付与

IBM Cloud Container Registryとの間でイメージをプルまたはプッシュするには、サービス ID を作成し、サービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

CLI を使用した Container Registry へのアクセス権限の付与

別のアカウントでIBM Cloud Container Registryからイメージをプルするには、サービス ID を作成し、そのサービス ID のアクセス・ポリシーを作成してから、資格情報を保管するための API キーを作成しなければなりません。

1. iam service-id-create コマンドを使用して、イメージ・プル・シークレットの IAM ポリシーと API キー資格情報のために使用するプロジェクトの IBM Cloud IAM サービス ID を作成します。 必ず、後でサービス ID を思い出せるように、プロジェクト名などを含む説明を付けてください。 iam service-id-create コマンドとそのオプションの全リストについては、ibmcloud iam service-id-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id という名前のサービス ID を Service ID for IBM Cloud Container Registry in Code Engine project myproject という説明を付けて作成します。

   ibmcloud iam service-id-create codeengine-myproject-id --description "Service ID for IBM Cloud Container Registry in Code Engine project my proj"
   

2. iam service-policy-create コマンドを使用して、IBM Cloud へのアクセス権限を付与するカスタム IBM Cloud Container Registry IAM ポリシーを、サービス ID に対して作成します。 iam service-policy-create コマンドとそのオプションの全リストについては、ibmcloud iam service-policy-create コマンドを参照してください。

   例えば、次のコマンドは、codeengine-myproject-id の役割を持つ Reader というサービス ID のポリシーを作成します。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Reader --service-name container-registry
   

   以下の表は、この例の iam service-policy-create コマンドで使用されるオプションを要約しています。 コマンドとそのオプションについて詳しくは、 ibmcloud iam service-policy-create コマンドを参照してください。

   表 4. iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <service_access_role>	必須。 サービス ID のアクセス権の有効範囲を指定するために、IBM Cloud Container Registry の サービス・アクセス役割を入力します。 指定できる値は、Reader、Writer、Manager です。 イメージをプルする場合は、Reader アクセス権限で十分です。 詳しくは、イメージ・レジストリーに対する権限の設定を参照してください。
   --service-name <container-registry>	必須。 container-registry を入力して、IBM Cloud Container Registry の IAM ポリシーを作成します。

3. iam-identity コマンドを使用して、iam service-policy-create サービスへのアクセスを許可するカスタム・サービス・ポリシーを作成し、Code Engine がサービス ID の API キーを取得できるようにします。

   例えば、codeengine-myproject-id の役割を持つ Operator というサービス ID のポリシーを作成するには、次のようにします。

   ibmcloud iam service-policy-create codeengine-myproject-id --roles Operator --service-name iam-identity
   

   以下の表は、この例の iam service-policy-create コマンドで使用されるオプションを要約しています。 コマンドとそのオプションについて詳しくは、 ibmcloud iam service-policy-create コマンドを参照してください。

   表 5. iam service-policy-create コマンドのコンポーネント

   オプション	説明
   <service_ID>	必須。 前に作成したcodeengine-<project_name>-idサービス ID に置き換えます。
   --roles <platform_access_role>	必須。 サービス ID のアクセス権限の有効範囲を指定するために、プラットフォーム・アクセス役割を入力します。 指定可能な値は、Administrator、Editor、Operator、および Viewerです。 Operator 以上をサービス ID に指定する必要があります。
   --service-name <iam-identity>	必須。 iam-identity を入力し、IAM Identity サービスの IAM ポリシーを作成します。

4. iam service-api-key-create コマンドで、サービス ID の API キーを作成します。 iam service-api-key-create コマンドとそのオプションの全リストについては、ibmcloud iam service-api-key-create コマンドを参照してください。 サービス ID に似た名前を API キーに付け、以前に作成したサービス IDcodeengine-<project_name>-idを含めます。 必ず、後でキーを思い出せるように説明を付けてください。

   例えば、以下のコマンドは、 codeengine-myproject-id サービス ID の codeengine-myproject-key というキーを作成し、 API key for service ID codeengine-myproject-id for Code Engine myproject という説明を付けます。

   ibmcloud iam service-api-key-create codeengine-myproject-key codeengine-myproject-id --description "API key for service ID codeengine-myproject-id for Code Engine myproject"
   

   出力例

   Please preserve the API key! It cannot be retrieved after it's created.
   
   Name          codeengine-myproject-key   
   Description   API key for service ID codeengine-myproject-id for Code Engine myproject   
   Bound To      crn:v1:bluemix:public:iam-identity::a/1bb222bb2b33333ddd3d3333ee4ee444::serviceid:ServiceId-ff55555f-5fff-6666-g6g6-777777h7h7hh   
   Created At    2019-02-01T19:06+0000   
   API Key       i-8i88ii8jjjj9jjj99kkkkkkkkk_k9-llllll11mmm1   
   Locked        false   
   UUID          ApiKey-222nn2n2-o3o3-3o3o-4p44-oo444o44o4o4   
   

   この API キーは再表示できないため、必ず安全な場所に記録してください。

   これで、サービス ID および作成された API キー用のアクセス・ポリシーが設定されたので、Code Engineへのアクセス権限の追加を使用してコンテナー・レジストリーからイメージをプルできます。