nextpertise/kubectl-ecr

kubectl-ecr 镜像说明

该镜像用于将AWS ECR的访问令牌添加到Kubernetes集群中，解决ECR令牌12小时有效期的问题，确保持续访问ECR镜像仓库。

背景（Why）

AWS ECR的访问令牌是有效期为12小时的JSON Web Token（JWT），需要定期刷新才能保持对ECR的访问权限。

工作原理（How）

此容器通过kubectl将ECR访问令牌发送到Kubernetes集群的所有命名空间，但会忽略Rancher项目和用户命名空间以避免递归问题。

配置说明（Config）

通过CronJob部署该镜像时，需进行以下设置：

1. 添加AWS控制台的ConfigMap
   创建两个文件：

• config文件示例：

[default]
region = eu-central-1

• credentials文件示例：

[default]
aws_access_key_id = BGHIA52TFY4OUQ4KLLMP
aws_secret_access_key = fH4EDLBkEWP7krnRH224Y23Iy8O4Z3daNzAWVFlj

将这两个文件挂载到容器的/root/.aws目录。

2. 添加Kubernetes配置的ConfigMap
   创建config文件，内容为你的.kube/config文件内容。

3. 设置环境变量
   在部署中添加两个环境变量：

region = eu-central-1
accountid = 123456789012

常见问题（FAQ）

• 问题：如何找到我的accountid？
  回答：accountid是ECR registry URL的一部分，例如123456789012.dkr.ecr.eu-central-1.amazonaws.com中的123456789012。

• 问题：如何找到我的region？
  回答：region是ECR registry URL的一部分，例如123456789012.dkr.ecr.eu-central-1.amazonaws.com中的eu-central-1。

• 问题：我不想将访问令牌发送到所有命名空间怎么办？
  回答：请提交Pull Request进行修改。

• 问题：我有多个registry，如何添加它们？
  回答：可以设置多个CronJob，或提交Pull Request进行扩展。

• 问题：为什么需要两次设置region？
  回答：因开发时的简化处理，若需优化请提交Pull Request。