Autentisera med ett Azure-containerregister

När du arbetar med registret direkt, till exempel när du ska hämta avbildningar till och push-pusha avbildningar från en utvecklingsarbetsdator till ett register som du har skapat, autentiserar du med hjälp av din enskilda Azure-identitet. Logga in på Azure CLI med az loginoch kör sedan kommandot az acr login:

az login
az acr login --name <acrName>

När du loggar in med använder CLI den token som skapades när du az acr login körde az login för att sömlöst autentisera sessionen med ditt register. För att slutföra autentiseringsflödet måste Docker CLI och Docker-daemon installeras och köras i din miljö. az acr loginanvänder Docker-klienten för att ange en Azure Active Directory-token i docker.config filen. När du har loggat in på det här sättet cachelagras dina autentiseringsuppgifter och efterföljande kommandon i sessionen docker kräver inte något användarnamn eller lösenord.

För registeråtkomst är den token som används av giltig i 3 timmar, så vi rekommenderar att du alltid loggar in i registret az acr login innan du kör ett docker kommando. Om din token upphör att gälla kan du uppdatera den med kommandot az acr login igen för att återauktorera.

Användning az acr login med Azure-identiteter ger rollbaserad åtkomstkontroll i Azure (Azure RBAC). I vissa fall kanske du vill logga in i ett register med din egen enskilda identitet i Azure AD eller konfigurera andra Azure-användare med specifika Azure-roller och behörigheter. För scenarier mellan tjänster eller för att hantera behoven i en arbetsgrupp eller ett utvecklingsarbetsflöde där du inte vill hantera enskild åtkomst kan du också logga in med en hanterad identitet för Azure-resurser.

az acr login with --expose-token

I vissa fall måste du autentisera med az acr login när Docker-daemonen inte körs i din miljö. Du kan till exempel behöva köra i ett skript i Azure Cloud Shell, som tillhandahåller Docker CLI men inte az acr login kör Docker-daemonen.

I det här scenariot kör az acr login du först med --expose-token parametern . Det här alternativet exponerar en åtkomsttoken i stället för att logga in via Docker CLI.

az acr login --name <acrName> --expose-token

Utdata visar åtkomsttoken, förkortat här:

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

För registerautentisering rekommenderar vi att du lagrar autentiseringsuppgifterna för token på en säker plats och följer rekommenderade metoder för att hantera autentiseringsuppgifter för Docker-inloggning. Lagra till exempel tokenvärdet i en miljövariabel:

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

Kör sedan docker login och skicka som användarnamn och använd 00000000-0000-0000-0000-000000000000 åtkomsttoken som lösenord:

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password $TOKEN

På samma sätt kan du använda den token som az acr login returneras av helm registry login med kommandot för att autentisera med registret:

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

När du arbetar med registret direkt, till exempel när du ska hämta avbildningar till och push-pusha avbildningar från en utvecklingsarbetsdator till ett register som du har skapat, autentiserar du med hjälp av din enskilda Azure-identitet. Logga in på Azure PowerShell med Anslut-AzAccountoch kör sedan cmdleten Anslut-AzContainerRegistry:

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

När du loggar in med använder PowerShell den token som skapades när du körde Connect-AzContainerRegistry Connect-AzAccount för att sömlöst autentisera sessionen med registret. För att slutföra autentiseringsflödet måste Docker CLI och Docker-daemon installeras och köras i din miljö. Connect-AzContainerRegistryanvänder Docker-klienten för att ange en Azure Active Directory-token i docker.config filen. När du har loggat in på det här sättet cachelagras dina autentiseringsuppgifter och efterföljande kommandon i sessionen docker kräver inte något användarnamn eller lösenord.

För registeråtkomst är den token som används av giltig i 3 timmar, så vi rekommenderar att du alltid loggar in i registret Connect-AzContainerRegistry innan du kör ett docker kommando. Om din token upphör att gälla kan du uppdatera den med kommandot Connect-AzContainerRegistry igen för att återauktorera.

Användning Connect-AzContainerRegistry med Azure-identiteter ger rollbaserad åtkomstkontroll i Azure (Azure RBAC). I vissa fall kanske du vill logga in i ett register med din egen enskilda identitet i Azure AD eller konfigurera andra Azure-användare med specifika Azure-roller och behörigheter. För scenarier mellan tjänster eller för att hantera behoven i en arbetsgrupp eller ett utvecklingsarbetsflöde där du inte vill hantera enskild åtkomst kan du också logga in med en hanterad identitet för Azure-resurser.

Om du vill aktivera administratörsanvändaren för ett befintligt register kan du använda parametern för --admin-enabled kommandot az acr update i Azure CLI:

az acr update -n <acrName> --admin-enabled true

Om du vill aktivera administratörsanvändaren för ett befintligt register kan du använda parametern för kommandot EnableAdminUser Update-AzContainerRegistry i Azure PowerShell:

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser