Ověřování pomocí služby Azure Container Registry

Při přímém práci s registrem, jako je například navýšení a vkládání imagí z vývojové pracovní stanice do registru, který jste vytvořili, můžete ověřit pomocí konkrétní identity Azure. Přihlaste se k Azure CLI pomocí příkazu AZ Logina potom spusťte příkaz AZ ACR Login :

az login
az acr login --name <acrName>

Při přihlášení pomocí az acr login rozhraní příkazového řádku použije token vytvořený při spuštění az login k bezproblémovému ověření relace s registrem. K dokončení toku ověřování musí být ve vašem prostředí nainstalovaný a spuštěný démon Docker CLI a Docker. az acr logink nastavení tokenu Azure Active Directory v souboru používá klienta docker docker.config . Po přihlášení tohoto postupu jsou vaše přihlašovací údaje uložené v mezipaměti a následné docker příkazy ve vaší relaci nevyžadují uživatelské jméno ani heslo.

V případě přístupu k registru je token používaný nástrojem az acr login platný po dobu 3 hodin, proto doporučujeme, abyste se před spuštěním příkazu vždy přihlásili k registru docker . V případě vypršení platnosti tokenu ho můžete znovu aktualizovat pomocí az acr login příkazu znovu a ověřit.

Použití az acr login s identitami Azure poskytuje řízení přístupu na základě role Azure (Azure RBAC). V některých scénářích se můžete chtít přihlásit k registru s vlastní individuální identitou v Azure AD nebo nakonfigurovat jiné uživatele Azure s konkrétními rolemi a oprávněními Azure. Pro scénáře mezi službami nebo pro zpracování potřeb pracovní skupiny nebo pracovního postupu vývoje, kde nechcete spravovat individuální přístup, se můžete také přihlásit pomocí spravované identity pro prostředky Azure.

AZ ACR Login with--zpřístupnit-token

V některých případech je nutné provést ověření v az acr login případě, že démon Docker neběží ve vašem prostředí. Například může být nutné spustit az acr login skript v Azure Cloud Shell, který poskytuje Docker CLI, ale nespustí démona Docker.

Pro tento scénář spusťte az acr login nejprve --expose-token parametr. Tato možnost zpřístupňuje přístupový token místo přihlášení prostřednictvím Docker CLI.

az acr login --name <acrName> --expose-token

Výstup zobrazuje přístupový token, který se tady zkracuje:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

Pro ověřování v registru doporučujeme ukládat přihlašovací údaje tokenu v bezpečném umístění a podle doporučených postupů spravovat přihlašovací údaje Docker . Například uložte hodnotu tokenu do proměnné prostředí:

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

Pak spusťte docker login , předejte 00000000-0000-0000-0000-000000000000 jako uživatelské jméno a pomocí přístupového tokenu jako hesla:

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password $TOKEN

Podobně můžete použít token vrácený pomocí az acr login helm registry login příkazu k ověření pomocí registru:

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

Při přímém práci s registrem, jako je například navýšení a vkládání imagí z vývojové pracovní stanice do registru, který jste vytvořili, můžete ověřit pomocí konkrétní identity Azure. přihlaste se k Azure PowerShell pomocí Připojení-AzAccounta pak spusťte rutinu Připojení-AzContainerRegistry :

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

Když se přihlásíte pomocí Connect-AzContainerRegistry , PowerShell použije token vytvořený při spuštění Connect-AzAccount k bezproblémovému ověření relace s registrem. K dokončení toku ověřování musí být ve vašem prostředí nainstalovaný a spuštěný démon Docker CLI a Docker. Connect-AzContainerRegistryk nastavení tokenu Azure Active Directory v souboru používá klienta docker docker.config . Po přihlášení tohoto postupu jsou vaše přihlašovací údaje uložené v mezipaměti a následné docker příkazy ve vaší relaci nevyžadují uživatelské jméno ani heslo.

V případě přístupu k registru je token používaný nástrojem Connect-AzContainerRegistry platný po dobu 3 hodin, proto doporučujeme, abyste se před spuštěním příkazu vždy přihlásili k registru docker . V případě vypršení platnosti tokenu ho můžete znovu aktualizovat pomocí Connect-AzContainerRegistry příkazu znovu a ověřit.

Použití Connect-AzContainerRegistry s identitami Azure poskytuje řízení přístupu na základě role Azure (Azure RBAC). V některých scénářích se můžete chtít přihlásit k registru s vlastní individuální identitou v Azure AD nebo nakonfigurovat jiné uživatele Azure s konkrétními rolemi a oprávněními Azure. Pro scénáře mezi službami nebo pro zpracování potřeb pracovní skupiny nebo pracovního postupu vývoje, kde nechcete spravovat individuální přístup, se můžete také přihlásit pomocí spravované identity pro prostředky Azure.

Pokud chcete povolit uživatele s oprávněními správce pro existující registr, můžete použít --admin-enabled parametr příkazu AZ ACR Update v rozhraní příkazového řádku Azure CLI:

az acr update -n <acrName> --admin-enabled true

Pokud chcete povolit uživatele s oprávněními správce pro existující registr, můžete použít EnableAdminUser parametr příkazu Update-AzContainerRegistry v Azure PowerShell:

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser