kubelet 配置 (v1alpha1)

image 是容器 image 字段中的镜像规约。 文件名是此值的 SHA-256 哈希，这样做是为了避免文件名中不安全的字符，如 ':' 和 '/'。

lastUpdatedTime 是此记录上次更新的时间。

imageRef 是从 CRI 接收到的此文件所代表的镜像的引用。 文件名是此值的 SHA-256 哈希。这是为了避免文件名中不安全的字符，如 ':' 和 '/'。

credentialMapping 将 image 映射到之前拉取它时使用的凭据集。 这里的 image 是 Pod 的容器中 image 字段的内容， 已去除其标签/摘要。

示例： 容器请求 hello-world:latest@sha256:91fb4b041da273d5a3273b6d587d62d518300a6ad268b28628f74997b93171b2 镜像： "credentialMapping": { "hello-world": { "nodePodsAccessible": true } }

name 是凭据提供者的名称（必需）。此名称必须与 kubelet 所看到的提供者可执行文件的名称匹配。可执行文件必须位于 kubelet 的 bin 目录（通过 --image-credential-provider-bin-dir 设置）下。 必须在所有提供商之间保持唯一。

matchImages 是一个必须设置的字符串列表，用来匹配镜像以便确定是否要调用此提供者。 如果字符串之一与 kubelet 所请求的镜像匹配，则此插件会被调用并给予提供凭证的机会。 镜像应该包含镜像库域名和 URL 路径。

matchImages 中的每个条目都是一个模式字符串，其中可以包含端口号和路径。 域名部分可以包含统配符，但端口或路径部分不可以。通配符可以用作子域名，例如 *.k8s.io 或 k8s.*.io，以及 k8s.* 这类顶级域名。

对类似 app*.k8s.io 这类部分子域名的匹配也是支持的。 每个通配符只能用来匹配一个子域名段，所以 *.io 不会匹配 *.k8s.io。

镜像与 matchImages 之间存在匹配时，以下条件都要满足：

• 二者均包含相同个数的域名部分，并且每个域名部分都对应匹配；
• matchImages 条目中的 URL 路径部分必须是目标镜像的 URL 路径的前缀；
• 如果 matchImages 条目中包含端口号，则端口号也必须与镜像端口号匹配。

matchImages 的一些示例如下：

• 123456789.dkr.ecr.us-east-1.amazonaws.com
• *.azurecr.io
• gcr.io
• *.*.registry.io
• registry.io:8080/path

要求 exec 插件 CredentialProviderRequest 请求的输入版本。 所返回的 CredentialProviderResponse 必须使用与输入相同的编码版本。当前支持的值有：

• credentialprovider.kubelet.k8s.io/v1alpha1

kuberneteSecretCoordinates 是用于拉取镜像的所有 Kubernetes Secret 的坐标索引。

kubernetesServiceAccounts 是用于拉取镜像的所有 Kubernetes 服务账号的坐标索引。

nodePodsAccessible 是一个标志，表示节点上的所有 Pod 都可以访问拉取凭据， 或者拉取不需要凭据。

如果为 true，则与 kubernetesSecrets 字段互斥。

credentialHash 是通过对镜像拉取凭据的内容进行哈希计算获得的 SHA-256 值， 这些凭据由 UID/命名空间/名称坐标指定的 Secret 提供。