Verifiëren met een Azure-containerregister

Wanneer u rechtstreeks met uw register werkt, zoals het binnenhalen van afbeeldingen naar en het pushen van afbeeldingen van een ontwikkelwerkstation naar een register dat u hebt gemaakt, verifieert u met behulp van uw afzonderlijke Azure-identiteit. Meld u aan bij de Azure CLI met az loginen voer vervolgens de opdracht az acr login uit:

az login
az acr login --name <acrName>

Wanneer u zich aanmeldt met , gebruikt de CLI het token dat is gemaakt tijdens de uitvoering om uw sessie naadloos te verifiëren az acr login az login bij uw register. Om de verificatiestroom te voltooien, moeten de Docker CLI en Docker-daemon zijn geïnstalleerd en worden uitgevoerd in uw omgeving. az acr logingebruikt de Docker-client om een Azure Active Directory in het bestand in te docker.config stellen. Zodra u op deze manier hebt aangemeld, worden uw referenties in de cache opgeslagen en is voor volgende opdrachten in uw sessie geen gebruikersnaam of docker wachtwoord vereist.

Voor registertoegang is het token dat wordt gebruikt door 3 uur geldig. Daarom raden we u aan u altijd aan te melden bij het register voordat u az acr login een opdracht gaat docker uitvoeren. Als uw token is verlopen, kunt u het vernieuwen door de opdracht opnieuw te gebruiken om az acr login opnieuw te worden geauthenticeerd.

Het az acr login gebruik van met Azure-identiteiten biedt op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC). In sommige scenario's kunt u zich aanmelden bij een register met uw eigen afzonderlijke identiteit in Azure AD of andere Azure-gebruikers configureren met specifieke Azure-rollen en -machtigingen. Voor scenario's tussen verschillende service-omgevingen of voor het afhandelen van de behoeften van een werkgroep of een ontwikkelingswerkstroom waarbij u geen afzonderlijke toegang wilt beheren, kunt u zich ook aanmelden met een beheerde identiteit voor Azure-resources.

az acr login with --expose-token

In sommige gevallen moet u verifiëren met az acr login wanneer de Docker-daemon niet wordt uitgevoerd in uw omgeving. U moet bijvoorbeeld uitvoeren in een script in Azure Cloud Shell, dat de Docker CLI levert, maar de az acr login Docker-daemon niet wordt uitgevoerd.

Voer voor dit scenario eerst az acr login uit met de parameter --expose-token . Met deze optie wordt een toegangs token beschikbaar in plaats van u aan te melden via de Docker CLI.

az acr login --name <acrName> --expose-token

In de uitvoer wordt het toegangs token weergegeven, dat hier wordt afgekort:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

Voor registerverificatie wordt u aangeraden de tokenreferenties op een veilige locatie op te slaan en de aanbevolen procedures voor het beheren van docker-aanmeldingsreferenties te volgen. Sla de tokenwaarde bijvoorbeeld op in een omgevingsvariabele:

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

Voer vervolgens docker login uit, door 00000000-0000-0000-0000-000000000000 als gebruikersnaam door te geven en het toegangs token als wachtwoord te gebruiken:

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password $TOKEN

Op dezelfde manier kunt u het token dat wordt geretourneerd door az acr login gebruiken met de opdracht om te verifiëren bij het helm registry login register:

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

Wanneer u rechtstreeks met uw register werkt, zoals het binnenhalen van afbeeldingen naar en het pushen van afbeeldingen van een ontwikkelwerkstation naar een register dat u hebt gemaakt, verifieert u met behulp van uw afzonderlijke Azure-identiteit. Meld u aan Azure PowerShell met Verbinding maken-AzAccounten voer vervolgens de cmdlet Verbinding maken-AzContainerRegistry uit:

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

Wanneer u zich aanmeldt met , gebruikt PowerShell het token dat is gemaakt tijdens de uitvoering om uw sessie naadloos te verifiëren Connect-AzContainerRegistry Connect-AzAccount met uw register. Om de verificatiestroom te voltooien, moeten de Docker CLI en Docker-daemon zijn geïnstalleerd en worden uitgevoerd in uw omgeving. Connect-AzContainerRegistrygebruikt de Docker-client om een Azure Active Directory in het bestand in te docker.config stellen. Zodra u op deze manier hebt aangemeld, worden uw referenties in de cache opgeslagen en is voor volgende opdrachten in uw sessie geen gebruikersnaam of docker wachtwoord vereist.

Voor registertoegang is het token dat wordt gebruikt door 3 uur geldig. Daarom raden we u aan u altijd aan te melden bij het register voordat u Connect-AzContainerRegistry een opdracht gaat docker uitvoeren. Als uw token is verlopen, kunt u het vernieuwen door de opdracht opnieuw te gebruiken om Connect-AzContainerRegistry opnieuw te worden geauthenticeerd.

Het Connect-AzContainerRegistry gebruik van met Azure-identiteiten biedt op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC). In sommige scenario's kunt u zich aanmelden bij een register met uw eigen afzonderlijke identiteit in Azure AD of andere Azure-gebruikers configureren met specifieke Azure-rollen en -machtigingen. Voor scenario's tussen verschillende service-omgevingen of voor het afhandelen van de behoeften van een werkgroep of een ontwikkelingswerkstroom waarbij u geen afzonderlijke toegang wilt beheren, kunt u zich ook aanmelden met een beheerde identiteit voor Azure-resources.

Als u de gebruiker met beheerdersrechten wilt inschakelen voor een bestaand register, kunt u de parameter van de --admin-enabled opdracht az acr update in de Azure CLI gebruiken:

az acr update -n <acrName> --admin-enabled true

Als u de gebruiker met beheerdersrechten wilt inschakelen voor een bestaand register, kunt u de parameter van de opdracht EnableAdminUser Update-AzContainerRegistry gebruiken in Azure PowerShell:

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser