azure - 如何从 Azure 容器应用服务使用 Azure ACR 进行身份验证

Question

我正在尝试设置我的应用程序容器服务，以便它可以使用托管身份从我们的 ACR 中提取 docker 镜像，而不是将用户名和密码存储在应用程序设置中(除了我们想要编写这些部署脚本的任何其他内容)如果应用服务需要用户名和密码，那么我们必须将它们存储在源代码管理中)。

令人难以置信的是，我找不到有关此场景的任何文档。我发现的最接近的是使用托管身份从 VM 提取 ACR 镜像 [ https://learn.microsoft.com/en-us/azure/container-registry/container-registry-authentication-managed-identity] ，我不能将其用作指南，因为最后一步(我唯一缺少的一点)是通过 SSH 进入虚拟机并在命令行。

我要去的地方:

• 我已创建 ACR 和容器应用服务
• 我已将角色 ACR Pull 和 Reader 授予系统分配的应用服务身份
• 尝试拉取容器镜像时，应用服务访问被拒绝

我不知道下一步该做什么；正如我所说，我找不到有关此场景的任何指南。

Answer 1

现在可以通过设置 acrUseManagedIdentityCreds 属性来实现这一点

这是一个包含步骤的教程: https://learn.microsoft.com/en-us/azure/app-service/tutorial-custom-container?pivots=container-linux#configure-app-service-to-deploy-the-image-from-the-registry

下面是具体命令

1. 授予托管身份访问容器注册表的权限:

az role assignment create --assignee <principal-id> --scope /subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.ContainerRegistry/registries/<registry-name> --role "AcrPull"

将您的应用配置为使用托管身份从 Azure 容器注册表中提取

az resource update --ids /subscriptions/<subscription-id>/resourceGroups/myResourceGroup/providers/Microsoft.Web/sites/<app-name>/config/web --set properties.acrUseManagedIdentityCreds=True