Perguntas frequentes - Azure Container Registry

Sim. Aqui está um modelo que você pode usar para criar um registro.

Sim. Consulte a documentação do Microsoft Defender for Cloud, Twistlock e Aqua.

Consulte a documentação do Kubernetes e as etapas do Serviço Kubernetes do Azure.

Antes de obter credenciais de administrador, verifique se o usuário administrador do registro está habilitado.

Para obter credenciais usando a CLI do Azure:

az acr credential show -n myRegistry

Com o Azure PowerShell:

Invoke-AzureRmResourceAction -Action listCredentials -ResourceType Microsoft.ContainerRegistry/registries -ResourceGroupName myResourceGroup -ResourceName myRegistry

Antes de obter credenciais de administrador, verifique se o usuário administrador do registro está habilitado.

Para obter a primeira palavra-passe:

{
    "password": "[listCredentials(resourceId('Microsoft.ContainerRegistry/registries', 'myRegistry'), '2017-10-01').passwords[0].value]"
}

Para obter a segunda senha:

{
    "password": "[listCredentials(resourceId('Microsoft.ContainerRegistry/registries', 'myRegistry'), '2017-10-01').passwords[1].value]"
}

O erro é visto quando o usuário tem permissões em um registro, mas não tem permissões de nível de leitor na assinatura. Para resolver esse problema, atribua permissões de leitor na assinatura ao usuário:

az role assignment create --role "Reader" --assignee user@contoso.com --scope /subscriptions/<subscription_id> 

Leva algum tempo para propagar as alterações nas regras de firewall. Depois de alterar as configurações do firewall, aguarde alguns minutos antes de verificar essa alteração.

O ACR suporta Docker Registry HTTP API V2. As APIs podem ser acessadas em https://<your registry login server>/v2/. Exemplo: https://mycontainerregistry.azurecr.io/v2/

Se você está em bash:

az acr manifest list-metadata --name myRepository --registry myRegistry --query "[?tags[0]==null].digest" --output tsv  | xargs -I% az acr repository delete --name myRegistry ---image myRepository@%

Para o PowerShell:

az acr manifest list-metadata --name myRepository --repository myRegistry --query "[?tags[0]==null].digest" --output tsv | %{ az acr repository delete --name myRegistry --image myRepository@$_ }

Para obter mais informações, consulte Excluir imagens de contêiner no Registro de Contêiner do Azure.

Essa situação pode acontecer se as camadas subjacentes ainda estiverem sendo referenciadas por outras imagens de contêiner. Se você excluir uma imagem sem referências, o uso do registro será atualizado em poucos minutos.

Crie uma imagem com uma camada de 1GB usando o seguinte arquivo docker. Isso garante que a imagem tenha uma camada que não é compartilhada por nenhuma outra imagem no registro.

FROM alpine
RUN dd if=/dev/urandom of=1GB.bin  bs=32M  count=32
RUN ls -lh 1GB.bin

Crie e envie a imagem para o seu registro usando a CLI do docker.

docker build -t myregistry.azurecr.io/1gb:latest .
docker push myregistry.azurecr.io/1gb:latest

Você deve ser capaz de ver que o uso de armazenamento aumentou no portal do Azure ou pode consultar o uso usando a CLI.

az acr show-usage -n myregistry

Exclua a imagem usando a CLI ou o portal do Azure e verifique o uso atualizado em alguns minutos.

az acr repository delete -n myregistry --image 1gb

Você precisa executar o contêiner da CLI do Azure montando o soquete do Docker:

docker run -it -v /var/run/docker.sock:/var/run/docker.sock azuresdk/azure-cli-python:dev

No contentor, instale docker:

apk --update add docker

Em seguida, autentique-se com seu registro:

az acr login -n MyRegistry

Habilite o TLS 1.2 usando qualquer cliente docker recente (versão 18.03.0 e superior).

Sim, você pode usar imagens confiáveis no Registro de Contêiner do Azure, uma vez que o Docker Notary foi integrado e pode ser habilitado. Para obter detalhes, consulte Confiança de conteúdo no Registro de contêiner do Azure.

Onde está localizado o arquivo para a impressão digital?

Em ~/.docker/trust/tuf/myregistry.azurecr.io/myrepository/metadata:

• Chaves públicas e certificados de todas as funções (exceto funções de delegação) são armazenados no root.json.
• As chaves públicas e os certificados da função de delegação são armazenados no arquivo JSON de sua função pai (por exemplo targets.json , para a targets/releases função).

Sugere-se verificar essas chaves públicas e certificados após a verificação geral do TUF feita pelo cliente Docker e Notary.

O ACR suporta funções personalizadas que fornecem diferentes níveis de permissões. Especificamente, AcrPull as funções permitem AcrPush que os usuários extraiam e/ou enviem imagens por push sem a permissão para gerenciar o recurso do Registro no Azure.

• Portal do Azure: Seu registro - Controle de acesso (IAM) ->> Adicionar (Selecionar AcrPull ou AcrPush para a função).

• CLI do Azure: localize a ID do recurso do Registro executando o seguinte comando:

  az acr show -n myRegistry
  

  Em seguida, você pode atribuir a função ou AcrPush a um usuário (o exemplo a AcrPull seguir usaAcrPull):

  az role assignment create --scope resource_id --role AcrPull --assignee user@example.com
  

  Ou atribua a função a uma entidade de serviço identificada por sua ID de aplicativo:

  az role assignment create --scope resource_id --role AcrPull --assignee 00000000-0000-0000-0000-000000000000
  

O cessionário pode então autenticar e aceder às imagens no registo.

• Para autenticar num registo:

  az acr login -n myRegistry 
  

• Para listar repositórios:

  az acr repository list -n myRegistry
  

• Para extrair uma imagem:

  docker pull myregistry.azurecr.io/hello-world
  

Com o uso apenas da AcrPull função ou AcrPush , o cessionário não tem permissão para gerenciar o recurso do Registro no Azure. Por exemplo, az acr list ou az acr show -n myRegistry não mostrará o registro.

A quarentena de imagens é atualmente um recurso de visualização do ACR. Pode ativar o modo de quarentena de um registo para que apenas as imagens que tenham passado com êxito na verificação de segurança sejam visíveis para utilizadores normais. Para obter detalhes, consulte o repositório ACR GitHub.

Para obter mais informações, consulte Tornar o conteúdo do Registro disponível publicamente.

Uma camada não distribuível em um manifesto contém um parâmetro de URL do qual o conteúdo pode ser buscado. Alguns casos de uso possíveis para habilitar pushes de camada não distribuíveis são para registros restritos de rede, registros air-gapped com acesso restrito ou para registros sem conectividade com a Internet.

Por exemplo, se você tiver regras NSG configuradas para que uma VM possa extrair imagens somente do seu registro de contêiner do Azure, o Docker extrairá falhas para camadas estrangeiras/não distribuíveis. Por exemplo, uma imagem do Windows Server Core conteria referências de camada estrangeira ao registro de contêiner do Azure em seu manifesto e não conseguiria extrair nesse cenário.

Para habilitar o envio por push de camadas não distribuíveis:

1. Edite o daemon.json arquivo, que está localizado em /etc/docker/ hosts Linux e no C:\ProgramData\docker\config\daemon.json Windows Server. Supondo que o arquivo estava vazio anteriormente, adicione o seguinte conteúdo:

   {
     "allow-nondistributable-artifacts": ["myregistry.azurecr.io"]
   }
   

   Nota

   O valor é uma matriz de endereços do Registro, separados por vírgulas.

2. Salve e saia do arquivo.

3. Reinicie o Docker.

Quando você envia imagens para os registros na lista, suas camadas não distribuíveis são enviadas por push para o registro.

Para solucionar problemas comuns de ambiente e registro, consulte Verificar a integridade de um registro de contêiner do Azure.

• Se esse erro for um problema transitório, a nova tentativa será bem-sucedida.
• Se docker pull falhar continuamente, então pode haver um problema com o daemon do Docker. O problema geralmente pode ser atenuado reiniciando o daemon do Docker.
• Se você continuar a ver esse problema depois de reiniciar o daemon do Docker, o problema pode ser alguns problemas de conectividade de rede com a máquina. Para verificar se a rede geral na máquina está íntegra, execute o seguinte comando para testar a conectividade do ponto de extremidade. A versão mínima az acr que contém esse comando de verificação de conectividade é 2.2.9. Atualize sua CLI do Azure se estiver usando uma versão mais antiga.

az acr check-health -n myRegistry

• Você sempre deve ter um mecanismo de repetição em todas as operações do cliente Docker.

Use a ferramenta de velocidade para testar a velocidade de download da rede da sua máquina. Se a rede da máquina estiver lenta, considere usar a VM do Azure na mesma região do seu registro para melhorar a velocidade da rede.

Use a ferramenta de velocidade para testar a velocidade de upload da rede da sua máquina. Se a rede da máquina estiver lenta, considere usar a VM do Azure na mesma região do seu registro para melhorar a velocidade da rede.

Esse erro pode acontecer com a versão Red Hat do daemon do Docker, onde --signature-verification é ativado por padrão. Você pode verificar as opções do daemon do Docker para Red Hat Enterprise Linux (RHEL) ou Fedora executando o seguinte comando:

grep OPTIONS /etc/sysconfig/docker

Por exemplo, o Fedora 28 Server tem as seguintes opções de daemon docker:

OPTIONS='--selinux-enabled --log-driver=journald --live-restore'

Com --signature-verification=false falta, docker pull falha com um erro semelhante a:

Trying to pull repository myregistry.azurecr.io/myimage ...
unauthorized: authentication required

Para resolver o erro:

1. Adicione a opção --signature-verification=false ao arquivo /etc/sysconfig/dockerde configuração do daemon do Docker. Por exemplo:

   OPTIONS='--selinux-enabled --log-driver=journald --live-restore --signature-verification=false'

2. Reinicie o serviço daemon do Docker executando o seguinte comando:

   sudo systemctl restart docker.service
   

Detalhes de --signature-verification pode ser encontrado executando man dockerd.

Certifique-se de usar uma URL de servidor com todas as letras minúsculas, por exemplo, mesmo que o nome do recurso do Registro seja maiúsculo ou misto, docker push myregistry.azurecr.io/myimage:latestcomo myRegistry.

Comece dockerd com a debug opção. Primeiro, crie o arquivo de configuração do daemon do Docker (/etc/docker/daemon.json) se ele não existir e adicione a debug opção:

{    
    "debug": true    
}

Em seguida, reinicie o daemon. Por exemplo, com o Ubuntu 14.04:

sudo service docker restart

Os detalhes podem ser encontrados na documentação do Docker.

• Os logs podem ser gerados em locais diferentes, dependendo do seu sistema. Por exemplo, para o Ubuntu 14.04, é /var/log/upstart/docker.log.
  Consulte a documentação do Docker para obter detalhes.

• Para o Docker para Windows, os logs são gerados em %LOCALAPPDATA%/docker/. No entanto, ele pode não conter todas as informações de depuração ainda.

  Para acessar o log completo do daemon, você pode precisar de algumas etapas extras:

  docker run --privileged -it --rm -v /var/run/docker.sock:/var/run/docker.sock -v /usr/local/bin/docker:/usr/local/bin/docker alpine sh
  
  docker run --net=host --ipc=host --uts=host --pid=host -it --security-opt=seccomp=unconfined --privileged --rm -v /:/host alpine /bin/sh
  chroot /host
  

  Agora você tem acesso a todos os arquivos da VM em execução dockerd. O log está em /var/log/docker.log.

Quando você concede novas permissões (novas funções) a uma entidade de serviço, a alteração pode não entrar em vigor imediatamente. Existem duas razões possíveis:

• Atraso na atribuição de funções do Microsoft Entra. Normalmente é rápido, mas pode levar minutos devido ao atraso na propagação.

• O atraso de permissão no servidor de token ACR pode levar até 10 minutos. Para atenuar, você pode docker logout e autenticar novamente com o mesmo usuário após 1 minuto:

  docker logout myregistry.azurecr.io
  docker login myregistry.azurecr.io
  

Atualmente, o ACR não oferece suporte à exclusão de replicação doméstica pelos usuários. A solução alternativa é incluir a criação de replicação doméstica no modelo, mas ignorar sua criação adicionando "condition": false como mostrado abaixo:

{
    "name": "[concat(parameters('acrName'), '/', parameters('location'))]",
    "condition": false,
    "type": "Microsoft.ContainerRegistry/registries/replications",
    "apiVersion": "2017-10-01",
    "location": "[parameters('location')]",
    "properties": {},
    "dependsOn": [
        "[concat('Microsoft.ContainerRegistry/registries/', parameters('acrName'))]"
     ]
},

Você pode encontrar um InvalidAuthenticationInfo erro, especialmente usando a ferramenta com a curl opção -L, --location (para seguir redirecionamentos). Por exemplo, buscando o blob usando curl com -L opção e autenticação básica:

curl -L -H "Authorization: basic $credential" https://$registry.azurecr.io/v2/$repository/blobs/$digest

pode resultar na seguinte resposta:

<?xml version="1.0" encoding="utf-8"?>
<Error><Code>InvalidAuthenticationInfo</Code><Message>Authentication information is not given in the correct format. Check the value of Authorization header.
RequestId:00000000-0000-0000-0000-000000000000
Time:2019-01-01T00:00:00.0000000Z</Message></Error>

A causa raiz é que algumas curl implementações seguem redirecionamentos com cabeçalhos da solicitação original.

Para resolver o problema, você precisa seguir os redirecionamentos manualmente sem os cabeçalhos. Imprima os cabeçalhos de resposta com a -D - opção de curl e, em seguida, extraia: o Location cabeçalho:

REDIRECT_URL=$(curl -s -D - -H "Authorization: basic $credential" https://$registry.azurecr.io/v2/$repository/blobs/$digest | grep "^Location: " | cut -d " " -f2 | tr -d '\r')
curl $REDIRECT_URL

Se você estiver usando o navegador Microsoft Edge/IE, poderá ver no máximo 100 repositórios ou tags. Se o seu registro tiver mais de 100 repositórios ou tags, recomendamos que você use o navegador Firefox ou Chrome para listá-los todos.

O navegador pode não ser capaz de enviar a solicitação para buscar repositórios ou tags para o servidor. Podem existir várias razões, tais como:

• Falta de conectividade de rede
• Firewall
• Usando o portal de uma rede pública para um registro que permite apenas acesso privado
• Bloqueadores de anúncios
• Erros de DNS

Entre em contato com o administrador da rede ou verifique a configuração e a conectividade da rede. Tente executar az acr check-health -n yourRegistry usando sua CLI do Azure para verificar se seu ambiente é capaz de se conectar ao Registro de Contêiner. Além disso, você também pode tentar uma sessão anônima ou privada em seu navegador para evitar qualquer cache ou cookies obsoletos do navegador.

Aqui estão alguns cenários em que as operações podem não ser permitidas:

• Os registos clássicos já não são suportados. Atualize para uma camada de serviço suportada usando az acr update ou o portal do Azure.
• A imagem ou repositório pode estar bloqueado para que não possa ser excluído ou atualizado. Você pode usar o comando az acr repository show para visualizar os atributos atuais.
• Algumas operações não são permitidas se a imagem estiver em quarentena. Saiba mais sobre a quarentena.
• O seu registo pode ter atingido o seu limite de armazenamento.

Se você vir um erro como "formato de repositório não suportado", "formato inválido" ou "os dados solicitados não existem" ao especificar um nome de repositório em operações de repositório, verifique a ortografia e maiúsculas e minúsculas do nome. Os nomes de repositório válidos só podem incluir caracteres alfanuméricos minúsculos, pontos, traços, sublinhados e barras para frente.

Pré-requisitos

• Ativar a desencriptação HTTPS no Fiddler
• Habilite o Docker para usar um proxy por meio da interface do usuário do Docker.
• Certifique-se de reverter quando terminar. O Docker não funcionará com isso ativado e o Fiddler não estará em execução.

Contentores do Windows

Configurar o proxy do Docker para 127.0.0.1:8888

Contentores do Linux

Encontre o ip do comutador virtual VM do Docker:

(Get-NetIPAddress -InterfaceAlias "*Docker*" -AddressFamily IPv4).IPAddress

Configure o proxy do Docker para a saída do comando anterior e a porta 8888 (por exemplo, 10.0.75.1:8888)

Os comandos a seguir cancelam todas as tarefas em execução no registro especificado.

az acr task list-runs -r $myregistry --run-status Running --query '[].runId' -o tsv \
| xargs -I% az acr task cancel-run -r $myregistry --run-id %

Se você passar uma pasta de origem local para o az acr build comando, a .git pasta será excluída do pacote carregado por padrão. Você pode criar um .dockerignore arquivo com a seguinte configuração. Ele diz ao comando para restaurar todos os arquivos no .git pacote carregado.

!.git/**

Essa configuração também se aplica ao az acr run comando.

Atualmente, não suportamos o GitLab para gatilhos de origem.

Executar solução de problemas de mensagem de erro

Integração de CI/CD

• CircleCI
• GitHub Actions

Configure as regras de firewalls corretas para os grupos de segurança de rede existentes ou rotas definidas pelo usuário. Após a configuração, aguarde alguns minutos até que as regras de firewall sejam aplicadas.

A seguinte política interna do Azure, quando definida como o respetivo status de política, impedirá que o usuário habilite o usuário administrador em seu registro.

Próximos passos

• Saiba mais sobre o Azure Container Registry.