将映像从容器注册表拉取到另一个 Microsoft Entra 租户中的 AKS 群集

在某些情况下，Azure AKS 群集可能位于一个 Microsoft Entra 租户中，而 Azure 容器注册表位于另一个租户中。 本文介绍了使用 AKS 服务主体凭据从容器注册表中进行拉取以启用跨租户身份验证的步骤。

本示例假设：

• AKS 群集位于租户 A 中，而 Azure 容器注册表位于租户 B 中 。
• 在租户 A 中为 AKS 群集配置了服务主体身份验证。详细了解如何为 AKS 群集创建和使用服务主体。

至少需要 AKS 群集订阅中的“参与者”角色和容器注册表订阅中的“所有者”角色。

可执行下文中的步骤来完成以下操作：

• 在租户 A 中创建一个新的多租户应用（服务主体）。
• 在租户 B 中预配应用。
• 将服务主体配置为从租户 B 中的注册表中拉取
• 更新租户 A 中的 AKS 群集，以使用新的服务主体进行身份验证

1. 登录到租户 A 中的 Azure 门户。

2. 搜索并选择 Microsoft Entra ID。

3. 在“管理”下，选择“应用注册”>“+ 新建注册”。

4. 在“支持的帐户类型”中，选择“任何组织目录中的帐户”。

5. 在“重定向 URI”中输入 https://www.microsoft.com。

6. 选择“注册”。

7. 在“概述”页上，记下应用程序（客户端）ID 。 将在步骤 2 和步骤 4 中使用该 ID。

   

8. 在“证书和机密”中的“客户端机密”下，选择“+ 新建客户端机密”。

9. 输入说明（例如“密码”），然后选择“添加”。

10. 在“客户端机密”中，记下客户端机密的值。 在步骤 4 中将使用该值更新 AKS 群集的服务主体。

    

1. 使用租户 B 中的管理员帐户打开以下链接。如有指示，请插入租户 B 的 ID 和多租户应用的应用程序 ID（客户端 ID） 。

   https://login.chinacloudapi.cn/<Tenant B ID>/oauth2/authorize?client_id=<Multitenant application ID>&response_type=code&redirect_uri=<redirect url>
   

2. 依次选择“代表组织同意”和“接受” 。

   

在租户 B中，将 AcrPull 角色分配给服务主体，范围限定为目标容器注册表。 可以使用 Azure 门户或其他工具来分配角色。 有关使用 Azure CLI 的示例步骤，请参阅使用服务主体进行 Azure 容器注册表身份验证。

使用在步骤 1 中收集的多租户应用程序（客户端）ID 和客户端机密更新 AKS 服务主体凭据。

更新服务主体可能需要几分钟时间。

• 详细了解使用服务主体进行 Azure 容器注册表身份验证
• 在 Kubernetes 文档中详细了解映像拉取机密

• 了解 Microsoft Entra ID 中的应用程序和服务主体对象
• 详细了解使用 Azure 容器注册表从 Kubernetes 群集进行身份验证的方案