Поделиться через

Неавторизованный анонимный доступ по запросу

По умолчанию доступ к извлечению или отправке содержимого из реестра контейнеров Azure доступен только для пользователей, прошедших проверку подлинности . Включение анонимного (неаутентифицированного) доступа делает все содержимое реестра общедоступным для извлечения. Используйте анонимный доступ по запросу в сценариях, которые не требуют проверки подлинности пользователей, например распространение общедоступных образов контейнеров.

Анонимный доступ к запросу доступен на уровнях служб "Стандартный" и "Премиум". Чтобы настроить анонимный доступ по запросу, обновите реестр с помощью Azure CLI (версия 2.21.0 или более поздней версии). Сведения об установке или обновлении см. в статье "Установка Azure CLI".

  • Включите анонимный доступ к запросу, обновив свойства существующего реестра.
  • После включения анонимного доступа по запросу вы можете отключить этот доступ в любое время.
  • Для клиентов, не прошедших проверку подлинности, доступны только операции передачи данных.
  • Реестр может регулировать высокий уровень запросов, не прошедших проверку подлинности.
  • Если вы ранее проходили проверку подлинности в реестре, перед выполнением операции анонимного извлечения удалите учетные данные.

Предупреждение

Анонимный pull-доступ в настоящее время распространяется ко всем репозиториям в реестре. Если вы управляете доступом к репозиторию с помощью разрешений репозитория на основе токенов, отличных от Майкрософт , или разрешений репозитория на основе Microsoft Entra, все пользователи по-прежнему могут извлекать из этих репозиториев в реестре, включенном для анонимного извлечения без проверки подлинности. Обратите внимание на это при включении анонимного доступа к получению данных без аутентификации.

Настройка анонимного доступа к запросу

Пользователи могут включать, отключать и запрашивать состояние анонимного доступа по запросу с помощью Azure CLI. В следующих примерах показано, как включить, отключить и запросить состояние анонимного доступа по запросу.

Включение анонимного доступа к запросу

Обновите реестр с помощью команды az acr update и передайте --anonymous-pull-enabled параметр. По умолчанию анонимный запрос отключен в реестре.

az acr update --name myregistry --anonymous-pull-enabled

Это важно

Если вы ранее прошли проверку подлинности в реестре с учетными данными Docker, выполните команду docker logout , чтобы очистить существующие учетные данные перед попыткой анонимных операций извлечения. В противном случае может появиться сообщение об ошибке, аналогичное "отказано в доступе при выполнении pull-запроса". Не забудьте всегда указывать полное имя реестра (все символы в нижнем регистре) при использовании docker login и отправке изображений в ваш реестр. В приведенных примерах полное квалифицированное имя — это myregistry.azurecr.io.

Если вы ранее прошли проверку подлинности в реестре с учетными данными Docker, выполните следующую команду, чтобы очистить существующие учетные данные или любую предыдущую проверку подлинности.

   docker logout myregistry.azurecr.io

Этот шаг помогает вам попытаться выполнить анонимную команду pull. При возникновении проблем может появиться сообщение об ошибке, аналогичное "отказано в доступе по запросу".

Отключение анонимного доступа к запросу

Отключите анонимный доступ к извлечению, установив параметр --anonymous-pull-enabled в значение false.

az acr update --name myregistry --anonymous-pull-enabled false

Запрос состояния анонимного доступа по запросу

Вы можете запросить состояние "anonymous-pull", используя команду az acr show с параметром --query. Ниже приведен пример:

az acr show -n <registry_name> --query anonymousPullEnabled

Команда возвращает логическое значение, указывающее, включена ли функция "Анонимный запрос" (true) или отключена (false). Эта команда упрощает процесс проверки состояния функций в ACR.

Дальнейшие шаги

  • Last updated on