Проверка подлинности с помощью реестра контейнеров Azure

При работе с реестром напрямую, например, извлечение образов из реестра на рабочую станцию разработки и отправка образов с рабочей станции разработки в созданный вами реестр, удостоверяйтесь, используя своё индивидуальное удостоверение Azure. Войдите в Azure CLI, используя az login, а затем выполните команду az acr login:

az login
az acr login --name <acrName>

При входе в az acr login систему интерфейс командной строки использует токен, созданный при выполнении az login, для бесшовной аутентификации вашего сеанса с реестром. Чтобы завершить аутентификацию, интерфейс командной строки Docker (CLI) и демон Docker должны быть установлены и запущены в вашей среде. az acr login использует клиент Docker для задания токена Microsoft Entra в файле docker.config. После входа в систему учетные данные кэшируются, а последующие docker команды в сеансе не требуют имени пользователя или пароля.

Для доступа к реестру токен, используемый az acr login, действует в течение 3 часов, поэтому мы рекомендуем всегда входить в реестр перед выполнением команды docker. Если срок действия токена истек, его можно обновить, повторно используя команду az acr login, чтобы повторно пройти проверку подлинности.

Использование az acr login с удостоверениями Azure обеспечивает ролевое управление доступом Azure (Azure RBAC). Для некоторых сценариев может потребоваться войти в реестр с собственным удостоверением в идентификаторе Microsoft Entra или настроить других пользователей Azure с определенными ролями. См. Обзор разрешений и ролей Azure Container Registry Entra. Для межсервисных сценариев или для удовлетворения потребностей рабочей группы или рабочего процесса разработки, если вы не хотите управлять доступом каждого пользователя отдельно, вы также можете использовать управляемое удостоверение для ресурсов Azure для входа.

az acr login с использованием флага --expose-token

В некоторых случаях необходимо пройти проверку подлинности с az acr login, когда демон Docker не запущен в вашей среде. Например, может потребоваться выполнить az acr login сценарий в Azure Cloud Shell, который предоставляет интерфейс командной строки Docker, но не запускает управляющую программу Docker.

Для этого сценария сначала запустите az acr login с параметром --expose-token. Этот параметр предоставляет токен доступа вместо авторизации через CLI Docker.

az acr login --name <acrName> --expose-token

Выходные данные отображают маркер доступа, сокращенный здесь:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

Для аутентификации для реестра рекомендуется хранить учетные данные токена в безопасном месте и следовать рекомендациям по управлению учетными данными для 'docker login'. Например, сохраните значение токена в переменной среды:

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

Затем выполните команду docker login, передав 00000000-0000-0000-0000-000000000000 имя пользователя и используя маркер доступа в качестве пароля:

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password-stdin <<< $TOKEN

Аналогичным образом можно использовать токен, возвращаемый az acr loginhelm registry login командой для проверки подлинности в реестре.

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

При прямой работе с вашим реестром, например, при извлечении образов из него на рабочую станцию разработки и отправке образов с рабочей станции в созданный реестр, осуществляйте аутентификацию с помощью вашей индивидуальной учетной записи Azure. Подключитесь к Azure PowerShell с Connect-AzAccount, а затем выполните командлет Connect-AzContainerRegistry

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

При входе в Connect-AzContainerRegistry систему PowerShell использует токен, созданный при выполнении Connect-AzAccount, чтобы беспрепятственно аутентифицировать ваш сеанс в вашем реестре. Чтобы завершить процесс аутентификации, интерфейс командной строки Docker и демон Docker должны быть установлены и запущены в вашей среде. Connect-AzContainerRegistry использует клиент Docker для задания маркера Microsoft Entra в файле docker.config. После входа в систему учетные данные кэшируются, а последующие docker команды в сеансе не требуют имени пользователя или пароля.

Для доступа к реестру маркер, используемый Connect-AzContainerRegistry, действителен в течение 3 часов, поэтому рекомендуется всегда входить в реестр перед выполнением команды docker. Если срок действия токена истек, вы можете обновить его, снова использовав команду Connect-AzContainerRegistry, чтобы пройти повторную проверку подлинности.

Использование Connect-AzContainerRegistry с идентификациями Azure обеспечивает управление доступом на основе ролей Azure (Azure RBAC). Для некоторых сценариев может потребоваться войти в реестр с собственным удостоверением в идентификаторе Microsoft Entra или настроить других пользователей Azure с определенными ролями. См. общие сведения о разрешениях и ролях реестра контейнеров Azure. Для сценариев между службами или для обработки потребностей рабочей группы или рабочего процесса разработки, который вы не хотите управлять отдельными доступами, вы также можете войти с управляемым удостоверением для ресурсов Azure.

Чтобы включить пользователя администратора для существующего реестра, можно использовать --admin-enabled параметр команды az acr update в Azure CLI:

az acr update -n <acrName> --admin-enabled true

Чтобы включить пользователя администратора для существующего реестра, можно использовать EnableAdminUser параметр команды Update-AzContainerRegistry в Azure PowerShell:

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser