使用 Azure 容器注册表进行身份验证

直接使用注册表时（例如向开发工作站拉取映像和从中将映像推送到创建的注册表），可使用单独的 Azure 标识进行身份验证。 使用 az login 登录到 Azure CLI，然后运行 az acr login 命令：

az cloud set -n AzureChinaCloud
az login
# az cloud set -n AzureCloud   //means return to Public Azure.
az acr login --name <acrName>

使用 az acr login 登录时，CLI 将使用执行 az login 时创建的令牌和注册表对会话进行无缝身份验证。 若要完成身份验证流，你的环境中必须已安装且正在运行 Docker CLI 和 Docker 守护程序。 az acr login 使用 Docker 客户端在 docker.config 文件中设置 Microsoft Entra 令牌。 以这种方式登录后，系统会缓存凭据，并且会话中的后续 docker 命令将不再需要用户名或密码。

对于注册表访问，az acr login 使用的令牌有效期为 3 小时 ，因此，建议在运行 docker 命令之前始终登录到注册表。 如果令牌过期，可以通过再次使用 az acr login 命令重新进行身份验证来刷新令牌。

配合使用 az acr login 和 Azure 标识可提供 Azure 基于角色的访问控制 (Azure RBAC)。 在某些情况下，你可能要在 Microsoft Entra ID 中使用自己的个人标识登录注册表，或使用特定 Azure 角色和权限配置其他 Azure 用户。 对于跨服务方案，或者若要在不想管理个人访问的情况下满足工作组或部署工作流的需求，还可以使用 Azure 资源的托管标识进行登录。

使用 --expose-token 运行 az acr login

在某些情况下，当 Docker 守护程序未在环境中运行时，需要使用 az acr login 进行身份验证。 例如，你可能需要在 Azure 本地 Shell（提供 Docker CLI，但不运行 Docker 守护程序）中的脚本中运行 az acr login。

对于此方案，请先使用 --expose-token 参数运行 az acr login。 此选项公开访问令牌，而不是通过 Docker CLI 登录。

az acr login --name <acrName> --expose-token

输出显示访问令牌（此处为缩写）：

{
  "accessToken": "<Your_Access_Toke_Placeholder>",
  "loginServer": "myregistry.azurecr.cn"
}

对于注册表身份验证，建议你将令牌凭据存储在一个安全的位置，并遵循建议的做法来管理 docker 登录凭据。 例如，将令牌值存储在环境变量中：

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

然后，运行 docker login，将 00000000-0000-0000-0000-000000000000 作为用户名进行传递并使用访问令牌作为密码：

docker login myregistry.azurecr.cn --username 00000000-0000-0000-0000-000000000000 --password-stdin <<< $TOKEN

同样，可以将 az acr login 返回的令牌与 helm registry login 命令配合使用，以使用注册表进行身份验证：

echo $TOKEN | helm registry login myregistry.azurecr.cn \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

直接使用注册表时（例如向开发工作站拉取映像和从中将映像推送到创建的注册表），可使用单独的 Azure 标识进行身份验证。 使用 Connect-AzAccount -Environment AzureChinaCloud 登录 Azure PowerShell，然后运行 Connect-AzContainerRegistry cmdlet：

Connect-AzAccount -Environment AzureChinaCloud
Connect-AzContainerRegistry -Name <acrName>

使用 Connect-AzContainerRegistry 登录时，PowerShell 将使用执行 Connect-AzAccount -Environment AzureChinaCloud 时创建的令牌通过注册表对会话进行无缝身份验证。 若要完成身份验证流，你的环境中必须已安装且正在运行 Docker CLI 和 Docker 守护程序。 Connect-AzContainerRegistry 使用 Docker 客户端在 docker.config 文件中设置 Microsoft Entra 令牌。 以这种方式登录后，系统会缓存凭据，并且会话中的后续 docker 命令将不再需要用户名或密码。

对于注册表访问，Connect-AzContainerRegistry 使用的令牌有效期为 3 小时 ，因此，建议在运行 docker 命令之前始终登录到注册表。 如果令牌过期，可以通过再次使用 Connect-AzContainerRegistry 命令重新进行身份验证来刷新令牌。

配合使用 Connect-AzContainerRegistry 和 Azure 标识可提供 Azure 基于角色的访问控制 (Azure RBAC)。 在某些情况下，你可能要在 Microsoft Entra ID 中使用自己的个人标识登录注册表，或使用特定 Azure 角色和权限配置其他 Azure 用户。 对于跨服务方案，或者若要在不想管理个人访问的情况下满足工作组或部署工作流的需求，还可以使用 Azure 资源的托管标识进行登录。

若要启用现有注册表的管理员用户，可以在 Azure CLI 中使用 az acr update 命令的 --admin-enabled 参数：

az acr update -n <acrName> --admin-enabled true

若要为现有注册表启用管理员用户，可以在 Azure PowerShell 中使用 Update-AzContainerRegistry 命令的 EnableAdminUser 参数：

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser