azure - 如何授权来自 .NET CORE C# 的 Azure 容器注册表请求

Question

我有一个创建 ContainerInstances 的 Web 应用程序，我有要使用的特定容器注册表镜像。因此，我使用此代码来获取我的 azure 容器注册表

IAzure azure = Azure.Authenticate($"{applicationDirectory}/Resources/my.azureauth").WithDefaultSubscription();
IRegistry azureRegistry = azure.ContainerRegistries.GetByResourceGroup("testResourceGroup", "testContainerRegistryName");

当第二行代码被执行时，我收到此错误

The client 'bc8fd78c-2b1b-4596-827e-6a3c918b7c17' with object id 'bc8fd78c-2b1b-4596-827e-6a3c918b7c17' does not have authorization to perform action 'Microsoft.ContainerRegistry/registries/read' over scope '/subscriptions/506b787d-83ef-426a-b7b8-7bfcdd475855/resourceGroups/testapp-live/providers/Microsoft.ContainerRegistry/registries/testapp' or the scope is invalid. If access was recently granted, please refresh your credentials.

我真的不知道该怎么办。我看过很多关于 Azure AD 并提供用户角色等内容的文章。有人可以一步步指导我如何解决这个问题吗？我真的很感谢你的帮助。谢谢。

我在该对象 ID 下找不到任何客户端，所以完全可以从头开始，更好地理解我在做什么。

Answer 1

如果您没有适当的权限或所需的角色来执行该操作，通常会发生此错误。

您可以找到应用程序的 ObjectId 和 ClientId，如下所示:

转到 Azure 门户 -> Azure Active Directory -> 应用注册 -> 您的应用程序 -> 概述

为您的 Azure 容器注册表分配“读者” 或 “贡献者” 角色，如下所示:

转到 Azure 门户 -> Azure 容器注册表 -> 您的容器注册表 -> 访问控制 (IAM)

点击“添加角色”后，通过搜索选择“读者”或“贡献者”角色并分配所需的范围。

如果上述方法不起作用，请尝试在 Azure CLI 中使用以下命令授予 objectid bc8fd78c-2b1b-4596-827e-6a3c918b7c17 “Contributor” 权限:

az role assignment create --assignee-object-id bc8fd78c-2b1b-4596-827e-6a3c918b7c17 --scope /subscriptions/506b787d-83ef-426a-b7b8-7bfcdd475855/resourceGroups/testapp --role contributor

引用:

Authenticate with service principal - Azure Container Registry | Microsoft Docs

azure - The client xxx with object id xxx does not have authorization to performaction Microsoft.Resources/subscriptions/resourcegroups/write' over scope - Stack Overflow