Аутентификация в Реестре контейнеров Azure

Войдите в Azure CLI с помощью az login, а затем выполните команду az acr login :

az login
az acr login --name <acrName>

При входе с помощью az acr login интерфейс командной строки использует токен, созданный при выполнении az login, чтобы беспрепятственно аутентифицировать вашу сессию с реестром. Чтобы завершить аутентификацию, интерфейс командной строки Docker (CLI) и демон Docker должны быть установлены и запущены в вашей среде. az acr login использует клиент Docker для задания токена Microsoft Entra в файле docker.config. После входа учетные данные кэшируются, а последующие docker команды в сеансе не требуют имени пользователя или пароля.

Для доступа к реестру маркер az acr login , который используется в течение 3 часов, поэтому всегда войдите в реестр перед выполнением docker команды. Если срок действия токена истекает, обновите его, еще раз воспользовавшись командой az acr login для повторной проверки подлинности.

Использование az acr login с удостоверениями Azure обеспечивает управление доступом на основе ролей Azure (RBAC). В некоторых сценариях может потребоваться войти в реестр с собственным удостоверением в идентификаторе Microsoft Entra или настроить других пользователей Azure с определенными ролями. Для сценариев между службами или рабочей группы или рабочего процесса разработки, где вы не хотите управлять отдельным доступом, вы также можете войти с помощью управляемого удостоверения для ресурсов Azure.

Использование az acr login без управляющей программы Docker

В некоторых случаях необходимо пройти проверку подлинности, используя az acr login , когда управляющая программа Docker не запущена в вашей среде. Например, может потребоваться выполнить az acr login сценарий в Azure Cloud Shell, который предоставляет интерфейс командной строки Docker, но не запускает управляющую программу Docker.

Для этого сценария выполните команду az acr login с параметром --expose-token . Этот параметр возвращает маркер доступа вместо входа с помощью Интерфейса командной строки Docker.

az acr login --name <acrName> --expose-token

Выходные данные отображают маркер доступа, сокращенный здесь:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

Для проверки подлинности реестра сохраните учетные данные токена в безопасном расположении и следуйте рекомендациям по управлению учетными данными для входа docker . Например, сохраните значение токена в переменной среды:

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

Затем выполните команду docker login, передав 00000000-0000-0000-0000-000000000000 имя пользователя и используя маркер доступа в качестве пароля:

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password-stdin <<< $TOKEN

Аналогичным образом можно использовать токен, возвращаемый az acr loginhelm registry login командой для проверки подлинности в реестре.

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

При работе непосредственно с реестром, например, когда вы перетаскиваете образы в рабочую станцию разработки и из неё в созданный вами реестр, используйте для проверки подлинности ваше личное удостоверение Azure. Войдите в Azure PowerShell с помощью Connect-AzAccount и выполните командлет Connect-AzContainerRegistry :

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

При входе с помощью Connect-AzContainerRegistryPowerShell использует маркер, созданный при выполнении Connect-AzAccount , чтобы легко пройти проверку подлинности сеанса в реестре. Чтобы завершить аутентификацию, интерфейс командной строки Docker (CLI) и демон Docker должны быть установлены и запущены в вашей среде. Connect-AzContainerRegistry использует клиент Docker для задания токена Microsoft Entra в файле docker.config. После входа учетные данные кэшируются, а последующие docker команды в сеансе не требуют имени пользователя или пароля.

Для доступа к реестру маркер, используемый Connect-AzContainerRegistry, действителен в течение 3 часов, поэтому всегда входите в реестр перед выполнением команды docker. Если срок действия токена истекает, обновите его, еще раз воспользовавшись командой Connect-AzContainerRegistry для повторной проверки подлинности.

Использование Connect-AzContainerRegistry с удостоверениями Azure обеспечивает управление доступом на основе ролей Azure (RBAC). В некоторых сценариях может потребоваться войти в реестр с собственным удостоверением в идентификаторе Microsoft Entra или настроить других пользователей Azure с определенными ролями. Для сценариев между службами или рабочей группы или рабочего процесса разработки, где вы не хотите управлять отдельным доступом, вы также можете войти с помощью управляемого удостоверения для ресурсов Azure.

Чтобы включить пользователя администратора для существующего реестра, используйте --admin-enabled параметр команды az acr update в Azure CLI:

az acr update -n <acrName> --admin-enabled true

Чтобы включить пользователя администратора для существующего реестра, используйте EnableAdminUser параметр команды Update-AzContainerRegistry в Azure PowerShell:

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser