Azure 服务主体从容器注册表中提取镜像

Question

我创建了一个像这样的 Azure 服务主体

az ad sp create-for-rbac --name $SERVICE_PRINCIPAL_NAME --scopes $ACR_REGISTRY_ID --role reader

登录后(az login --service-principal -u $SERVICE_PRINCIPAL_NAME -p $SERVICE_PRINCIPAL_ID --tenant $TENANT_ID)，我可以看到所有图像(az acr 存储库list --name $ACR_REGISTRY_NAME) 位于我的注册表中，但我无法推送或拉取镜像 (docker pull myregistry.azurecr.io/myimage:latest)。

是否存在我不知道的权限？我已经尝试过与其他角色(如所有者或贡献者)进行类似的操作，但 SP 也遇到了相同的错误，如下所示:

Error response from daemon: Get https://myregistry.azurecr.io/v2/myimage/latest/manifests/latest: unauthorized: authentication required

<小时/>

8 月 14 日更新:

我也无法使用 SP 进行 docker 登录

Error response from daemon: Get myregistry.azurecr.io/v2: unauthorized: authentication required

Answer 1

您需要使用docker登录登录registry

docker 登录 myregistry.azurecr.io -u xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx -p myPassword

引用:https://learn.microsoft.com/en-us/azure/container-registry/container-registry-authentication#service-principal