使用 Azure Container Registry 进行身份验证

使用 `az login` 登录到 `Azure CLI`，然后运行 `az acr login` 命令：

az cloud set -n AzureChinaCloud
az login
# az cloud set -n AzureCloud   //means return to Public Azure.
az acr login --name <acrName>

当您使用 az acr login 登录时，CLI 将利用您在执行 az login 时创建的令牌，实现与注册表会话的无缝身份验证。 若要完成身份验证流，你的环境中必须已安装且正在运行 Docker CLI 和 Docker 守护程序。 az acr login使用 Docker 客户端在 docker.config 文件中设置Microsoft Entra令牌。 以这种方式登录后，将缓存凭据，会话中的后续 docker 命令不需要用户名或密码。

对于注册表访问，使用的令牌 az acr login 有效期为 3 小时，因此请在运行 docker 命令之前始终登录到注册表。 如果令牌过期，请使用命令再次刷新它 az acr login 以重新进行身份验证。

将 az acr login 与Azure标识配合使用可以启用 Azure 基于角色的访问控制 （RBAC）。 对于某些方案，你可能希望在Microsoft Entra ID中使用自己的个人标识登录到注册表，或者配置具有 特定角色的其他Azure用户。 对于跨服务场景，或对于不想管理个人访问权限的工作组或开发工作流，您还可以通过使用 Azure 资源的托管身份来登录。

在没有 Docker 守护程序的情况下使用 az acr login

在某些情况下，当 Docker 守护程序未在您的环境中运行时，需要使用 az acr login 进行身份验证。 例如，您可能需要在 Azure 本地 Shell 的脚本中运行 az acr login，该 Shell 提供 Docker CLI，但不运行 Docker 守护程序。

对于此方案，请使用az acr login参数运行--expose-token。 此选项返回访问令牌，而不是通过 Docker CLI 登录。

az acr login --name <acrName> --expose-token

输出显示访问令牌，缩写如下：

{
  "accessToken": "<Your_Access_Toke_Placeholder>",
  "loginServer": "myregistry.azurecr.cn"
}

对于注册表身份验证，请将令牌凭据存储在安全位置，并遵循建议的做法来管理 docker 登录 凭据。 例如，将令牌值存储在环境变量中：

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

然后，运行 docker login，作为用户名传递 00000000-0000-0000-0000-000000000000 ，并使用访问令牌作为密码：

docker login myregistry.azurecr.cn --username 00000000-0000-0000-0000-000000000000 --password-stdin <<< $TOKEN

同样，可以将 az acr login 返回的令牌与 helm registry login 命令配合使用，以使用注册表进行身份验证：

echo $TOKEN | helm registry login myregistry.azurecr.cn \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

直接使用注册表（例如将映像拉取到开发工作站并将映像推送到创建的注册表）时，请使用单个Azure标识进行身份验证。 使用 Connect-AzAccount -Environment AzureChinaCloud 登录到 Azure PowerShell，然后运行 Connect-AzContainerRegistry cmdlet：

Connect-AzAccount -Environment AzureChinaCloud
Connect-AzContainerRegistry -Name <acrName>

当您使用 Connect-AzContainerRegistry 登录时，PowerShell 会利用您在执行 Connect-AzAccount -Environment AzureChinaCloud 时创建的令牌，无缝地验证您与注册库的会话。 若要完成身份验证流，你的环境中必须已安装且正在运行 Docker CLI 和 Docker 守护程序。 Connect-AzContainerRegistry使用 Docker 客户端在 docker.config 文件中设置Microsoft Entra令牌。 以这种方式登录后，将缓存凭据，会话中的后续 docker 命令不需要用户名或密码。

对于注册表访问，使用的 Connect-AzContainerRegistry 令牌有效期为 3 小时，因此请在运行 docker 命令之前始终登录到注册表。 如果令牌过期，请使用命令再次刷新它 Connect-AzContainerRegistry 以重新进行身份验证。

将 Connect-AzContainerRegistry 与Azure标识配合使用可以启用 Azure 基于角色的访问控制 （RBAC）。 对于某些方案，你可能希望在Microsoft Entra ID中使用自己的个人标识登录到注册表，或者配置具有 特定角色的其他Azure用户。 对于跨服务场景，或对于不想管理个人访问权限的工作组或开发工作流，您还可以通过使用 Azure 资源的托管身份来登录。

若要为现有注册表启用管理员用户，请使用 Azure CLI 中的 --admin-enabled 命令的 参数：

az acr update -n <acrName> --admin-enabled true

若要为现有注册表启用管理员用户，请使用 Azure PowerShell 中的 EnableAdminUser 命令的 参数：

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser