配置 kubelet 镜像凭据提供程序

apiVersion: kubelet.config.k8s.io/v1
kind: CredentialProviderConfig
# providers 是将由 kubelet 启用的凭据提供程序帮助插件列表。
# 多个提供程序可能与单个镜像匹配，在这种情况下，来自所有提供程序的凭据将返回到 kubelet。
# 如果为单个镜像调用了多个提供程序，则返回结果会被合并。
# 如果提供程序返回重叠的身份验证密钥，则使用提供程序列表中较早的值。
providers:
  # name 是凭据提供程序的必需名称。
  # 它必须与 kubelet 看到的提供程序可执行文件的名称相匹配。
  # 可执行文件必须在 kubelet 的 bin 目录中
  # （由 --image-credential-provider-bin-dir 标志设置）。
  - name: ecr-credential-provider
    # matchImages 是一个必需的字符串列表，用于匹配镜像以确定是否应调用此提供程序。
    # 如果其中一个字符串与 kubelet 请求的镜像相匹配，则该插件将被调用并有机会提供凭据。
    # 镜像应包含注册域和 URL 路径。
    #
    # matchImages 中的每个条目都是一个模式字符串，可以选择包含端口和路径。
    # 可以在域中使用通配符，但不能在端口或路径中使用。
    # 支持通配符作为子域（例如 "*.k8s.io" 或 "k8s.*.io"）和顶级域（例如 "k8s.*"）。
    # 还支持匹配部分子域，如 "app*.k8s.io"。
    # 每个通配符只能匹配一个子域段，因此 "*.io" **不** 匹配 "*.k8s.io"。
    #
    # 当以下所有条件都为真时，镜像和 matchImage 之间存在匹配：
    #
    # - 两者都包含相同数量的域部分并且每个部分都匹配。
    # - matchImages 的 URL 路径必须是目标镜像 URL 路径的前缀。
    # - 如果 matchImages 包含端口，则该端口也必须在镜像中匹配。
    #
    # matchImages 的示例值：
    #
    # - 123456789.dkr.ecr.us-east-1.amazonaws.com
    # - *.azurecr.io
    # - gcr.io
    # - *.*.registry.io
    # - registry.io:8080/path
    matchImages:
      - "*.dkr.ecr.*.amazonaws.com"
      - "*.dkr.ecr.*.amazonaws.com.cn"
      - "*.dkr.ecr-fips.*.amazonaws.com"
      - "*.dkr.ecr.us-iso-east-1.c2s.ic.gov"
      - "*.dkr.ecr.us-isob-east-1.sc2s.sgov.gov"
    # defaultCacheDuration 是插件将在内存中缓存凭据的默认持续时间。
    # 如果插件响应中未提供缓存持续时间。此字段是必需的。
    defaultCacheDuration: "12h"
    # exec CredentialProviderRequest 的必需输入版本。
    # 返回的 CredentialProviderResponse 必须使用与输入相同的编码版本。当前支持的值为：
    # - credentialprovider.kubelet.k8s.io/v1
    apiVersion: credentialprovider.kubelet.k8s.io/v1
    # 执行命令时传递给命令的参数。
    # 可选
    # args:
    #  - --example-argument
    # env 定义了额外的环境变量以暴露给进程。
    # 这些与主机环境以及 client-go 用于将参数传递给插件的变量结合在一起。
    # 可选
    env:
      - name: AWS_PROFILE
        value: example_profile

    # tokenAttributes 是将传递给插件的服务账号令牌的配置。
    # 凭证提供者通过设置此字段选择使用服务账号令牌进行镜像拉取。
    # 如果在未启用 `KubeletServiceAccountTokenForCredentialProviders` 特性门控的情况下设置了此字段，
    # kubelet 将因无效配置错误而无法启动。
    # 可选
    tokenAttributes:
      # serviceAccountTokenAudience 是 projected service account token 的预期受众。
      # 必需
      serviceAccountTokenAudience: "<audience for the token>"
      # cacheType 指示当使用服务账号令牌时，用于缓存插件返回凭据的缓存键的类型。
      # 最保守的选择是将其设置为 "Token"，这意味着 kubelet 将基于每个令牌缓存返回的凭据。
      # 如果返回凭据的有效期限制于服务账号令牌的有效期，则应设置此项。
      # 如果插件的凭据检索逻辑仅依赖于服务账号而不依赖于特定于 Pod 的申领，
      # 那么插件可以将此设置为 "ServiceAccount"。在这种情况下，
      # kubelet 将基于每个服务账号缓存返回的凭据。当返回的凭据对使用相同服务账号的所有 Pod 均有效时使用此选项。
      # 必需
      cacheType: "<Token or ServiceAccount>"
      # requireServiceAccount 指示插件是否需要 Pod 拥有服务帐号。
      # 如果设置为 true，kubelet 仅在 Pod 拥有服务账号时才会调用插件。
      # 如果设置为 false，即使 Pod 没有服务账号，kubelet 也会调用插件，
      # 并且不会在 CredentialProviderRequest 中包含令牌。这对于用于拉取没有服务账号的 Pod（例如静态 Pod）镜像的插件非常有用。
      # 必需
      requireServiceAccount: true
      # requiredServiceAccountAnnotationKeys 是插件感兴趣的注解键列表，
      # 并且这些键需要存在于服务帐号中。
      # 在此列表中定义的键将从相应的服务帐号中提取，并作为 CredentialProviderRequest 的一部分传递给插件。
      # 如果此列表中定义的任何一个键不存在于 service account 中，kubelet 将不会调用插件并返回错误。
      # 此字段是可选的，可以为空。插件可以使用此字段提取获取凭据所需的额外信息，
      # 或允许工作负载选择使用服务帐号令牌进行镜像拉取。
      # 如果非空，则 requireServiceAccount 必须设置为 true。
      # 此列表中定义的键必须唯一且不与 optionalServiceAccountAnnotationKeys 列表中定义的键重叠。
      # 可选
      requiredServiceAccountAnnotationKeys:
      - "example.com/required-annotation-key-1"
      - "example.com/required-annotation-key-2"
      # optionalServiceAccountAnnotationKeys 是插件感兴趣的注解键列表，
      # 并且这些键在服务帐号中是可选存在的。
      # 在此列表中定义的键将从相应的 service account 中提取，并作为 CredentialProviderRequest 的一部分传递给插件。
      # 插件负责验证注解及其值的存在性。此字段是可选的，可以为空。
      # 插件可以使用此字段提取获取凭据所需的额外信息。
      # 此列表中定义的键必须唯一且不与 requiredServiceAccountAnnotationKeys 列表中定义的键重叠。
      # 可选
      optionalServiceAccountAnnotationKeys:
      - "example.com/optional-annotation-key-1"
      - "example.com/optional-annotation-key-2"