Azure 容器注册表中的 Azure 基于属性的访问控制 （Azure ABAC） 存储库权限

通过 Azure 门户创建新注册表时，为角色分配权限模式选择RBAC 注册表 + ABAC 存储库权限。

运行时 az acr create，使用 --role-assignment-mode 参数 设置角色分配权限模式。 指定 rbac-abac 创建启用了 Azure ABAC 的注册表：

az acr create --name <registry-name> --resource-group <resource-group> --sku <sku> --role-assignment-mode 'rbac-abac' --location <location>

若要查看注册表的现有角色分配权限模式，请转到 Azure 门户中的注册表。 在服务菜单中的 “设置”下，选择“ 属性”，然后检查 “角色分配权限”模式 设置。

若要启用 Azure RBAC，请选择 RBAC 注册表 + ABAC 存储库权限，然后选择“ 保存”。

运行 az acr update 时，使用 --role-assignment-mode 参数来设置注册表角色分配权限模式。 指定 rbac-abac 创建启用了 RBAC 注册表 + ABAC 存储库权限 的注册表。

若要显示注册表的当前角色分配权限模式，请运行以下命令：

az acr show --name <registry-name> --resource-group <resource-group> --query "roleAssignmentMode"

若要更新现有注册表以启用 Azure ABAC，请运行以下命令：

az acr update --name <registry-name> --resource-group <resource-group> --role-assignment-mode 'rbac-abac'

1. 转到 Azure 门户中的注册表。 在服务菜单中，选择“访问控制”（IAM）。

2. 选择“添加”，然后选择“添加角色分配”。

3. 搜索 Container Registry Repository Reader。 选择该角色，然后选择“ 下一步”。

4. 在“ 成员 ”选项卡中，指定应为其分配此角色的标识，然后选择“ 下一步”。

5. 在“ 条件 ”选项卡中，选择“ 添加条件”。

6. 确保为编辑器类型选择视觉。

7. 在 条件 #1 下，选择属于此角色并希望在此存储库范围的角色分配中授予的操作（权限）。 在大多数情况下，选择所有操作，以将此角色的身份执行的所有操作限制在存储库范围内。 选取“选择”，保存所做的更改。

   

8. 接下来，在 “生成”表达式下，选择“ 添加表达式”。 为表达式配置以下选项，将 ABAC 条件限定为特定存储库：

   • 属性源： Request
   • 属性： Repository name
   • 操作员：StringEqualsIgnoreCase
   • 值： <repository-name> - 存储库的全名

   

9. 选择 “保存” 以保存 ABAC 条件，然后查看 ABAC 条件的代码表达式。 可以使用此代码通过 Azure CLI 使用相同的 ABAC 条件执行相同的角色分配。

   

10. 选择 “查看 + 分配 ”以完成角色分配。

创建角色分配后，可以通过选择角色分配在注册表的访问控制（IAM）页中查看、编辑或删除它。

若要添加带有用于特定存储库的 ABAC 条件的角色分配，请使用 az role assignment create。 此命令包括以下与 ABAC 条件相关的参数：

若要为 ABAC 条件创建表达式，建议 在 Azure 门户角色分配体验中使用视觉编辑器。 对于此示例，请使用 ABAC 条件的以下表达式将角色分配限制到存储库 hello-world：

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world'
 )
)

可以将此 ABAC 条件存储在命名为 condition 的 shell 变量中，用于 az role assignment create 命令。

condition=$(cat <<'EOF' | tr -d '\n'
(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world'
 )
)
EOF
)

condition仔细检查变量，验证变量是否正确。 每当使用变量时，请务必使用"双引号（condition）。

echo "$condition"

在执行角色分配之前，请查询参数的 --scope 注册表资源 ID。 始终使用注册表资源 ID（没有存储库名称）作为 --scope 参数，即使对于限定于特定存储库的角色分配也是如此。 还可以指定资源组或订阅范围，以跨资源组或订阅中的所有注册表执行此角色分配。

scope=$(az acr show --name <registry-name> --resource-group <resource-group> --query "id" -o tsv)

最后，运行以下命令以执行角色分配：

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a specific repository" \
  --condition "$condition" \
  --condition-version "2.0"

下面显示了输出示例：

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringEqualsIgnoreCase 'hello-world' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

若要更新或删除角色分配，请使用 az role assignment update 或 az role assignment delete。

如果按照前面的示例将角色分配给 Container Registry Repository Reader 特定存储库，请在创建新存储库之前删除该角色分配。 可以在访问控制（IAM）中通过选择角色分配，选择相应的角色分配，然后选择“删除”来删除该角色分配。

1. 按照 与上一示例中 相同的步骤，使用 ABAC 条件执行角色分配。

2. 在为 ABAC 条件添加表达式的步骤中，配置 ABAC 条件的表达式，以将角色分配范围限定为具有通用前缀（通配符）的多个存储库。 配置以下选项：

   • 属性源： Request

   • 属性： Repository name

   • 操作员：StringStartsWithIgnoreCase

   • 值： <repository-prefix> - 存储库的前缀，包括尾部斜杠 /。 例如，若要向具有前缀backend/的所有存储库授予权限，例如backend/nginx，请输入backend/redisbackend/。 若要向具有前缀frontend/js/的所有存储库授予权限，例如frontend/js/react，请输入frontend/js/vuefrontend/js/。

     重要

     ABAC 条件表达式的 / 字段中需要使用尾随左斜线 Value。 如果未包含尾部斜杠 /，则可能无意中向与前缀不匹配的其他存储库授予权限。 例如，如果输入backend时省略尾部斜杠/，则角色分配会向具有前缀backend的所有存储库（例如backend/nginx、backend/redis、backend-infra/k8s、backend-backup/store、backend和backendsvc/containers）授予权限。

3. 选择 “保存” 以保存 ABAC 条件，然后查看 ABAC 条件的代码表达式。

4. 选择 “查看 + 分配 ”以完成角色分配。

如果您根据前面的示例将 Container Registry Repository Reader 角色分配给特定存储库，请使用 az role assignment delete 删除该角色分配，然后再创建一个作用域为存储库前缀的 ABAC 条件的新角色分配。

若要在前缀下将 ABAC 条件应用于多个存储库的角色分配，请使用 az role assignment create。

若要为 ABAC 条件创建表达式，建议 在 Azure 门户角色分配体验中使用视觉编辑器。 对于此示例，请使用以下 ABAC 条件表达式，将角色分配限制在前缀为backend/的存储库，例如backend/nginx和backend/redis。

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
 )
)

按照 第一节中所述 的步骤将此 ABAC 条件存储在名为 condition shell 变量中，并查询参数的 --scope 注册表资源 ID。 然后运行以下命令来执行角色分配：

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a multiple repositories under a repository prefix" \
  --condition "$condition" \
  --condition-version "2.0"

下面显示了输出示例：

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}

如果按照前面的示例将角色分配给 Container Registry Repository Reader 特定存储库前缀，请在创建新角色之前删除该角色分配。 可以在访问控制（IAM）中通过选择角色分配，选择相应的角色分配，然后选择“删除”来删除该角色分配。

1. 按照与 第一个示例中 相同的步骤执行 ABAC 条件的角色分配。

2. 在为 ABAC 条件添加表达式的步骤中，将两个表达式配置为将角色分配范围限定为两个前缀下的多个存储库： backend/ 和 frontend/js/ （多个通配符）。 在每个前缀中包含尾部斜杠 / 。

   对于第一个表达式，请配置以下选项：

   • 属性源： Request
   • 属性： Repository name
   • 操作员：StringStartsWithIgnoreCase
   • 值：backend/

3. 选择“添加表达式”。 视觉编辑器还支持多个布尔运算符，包括 And、 Or、分层分组和求反。 对于此示例，请确保布尔运算符设置为 Or。

4. 对于第二个表达式，请配置以下选项：

   • 属性源： Request
   • 属性： Repository name
   • 操作员：StringStartsWithIgnoreCase
   • 值：frontend/js/

   

5. 选择 “保存” 以保存 ABAC 条件，然后查看 ABAC 条件的代码表达式。

6. 选择 “查看 + 分配 ”以完成角色分配。

如果您按照前面的示例将Container Registry Repository Reader角色分配给特定的存储库前缀，请在使用az role assignment delete之前删除该角色分配，然后创建一个新的角色分配，其 ABAC 条件限定在存储库前缀上。

若要在前缀下将 ABAC 条件应用于多个存储库的角色分配，请使用 az role assignment create。

若要为 ABAC 条件创建表达式，建议 在 Azure 门户角色分配体验中使用视觉编辑器。 此示例中，请使用以下 ABAC 条件表达式，将角色分配限制在具有前缀 backend/ 或 frontend/js/ 的存储库中：

(
 (
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})
  AND
  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'})
 )
 OR 
 (
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/'
  OR
  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'frontend/js/'
 )
)

按照 第一节中所述 的步骤将此 ABAC 条件存储在名为 condition shell 变量中，并查询参数的 --scope 注册表资源 ID。 然后运行以下命令来执行角色分配：

az role assignment create \
  --role "Container Registry Repository Reader" \
  --scope "$scope" \
  --assignee "user@contoso.com" \
  --description "Read access to a multiple repositories under multiple repository prefixes" \
  --condition "$condition" \
  --condition-version "2.0"

下面显示了输出示例：

{
    "canDelegate": null,
    "condition": "( (  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/content/read'})  AND  !(ActionMatches{'Microsoft.ContainerRegistry/registries/repositories/metadata/read'}) ) OR  (  @Request[Microsoft.ContainerRegistry/registries/repositories:name] StringStartsWithIgnoreCase 'backend/' ))",
    "conditionVersion": "2.0",
    "description": "{description}",
    "id": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Authorization/roleAssignments/{roleAssignmentId}",
    "name": "{roleAssignmentId}",
    "principalId": "{userObjectId}",
    "principalType": "User",
    "resourceGroup": "{resourceGroup}",
    "roleDefinitionId": "/subscriptions/{subscriptionId}/providers/Microsoft.Authorization/roleDefinitions/{roleDefinitionId}",
    "scope": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerRegistry/registries/{registryName}",
    "type": "Microsoft.Authorization/roleAssignments"
}