Как создать ключ доступа только для чтения для реестра контейнеров Azure

Question

Я использую базовый тип учетной записи в Azure.

У меня: частный реестр только с одним ключом доступа (администраторский)

Я хочу: Чтобы иметь возможность создавать дополнительные ключи доступа с доступом только для чтения (acrpull).

Вопрос: правильно ли я читаю отсюда: https://docs.microsoft.com/en-us/azure/container-registry/container-registry-skus, что это запрещено (только в премиум-версии Счет)?

Нет ли способа создать еще один токен с доступом acrpull только для базовой учетной записи?

С Уважением,

Answer 1

Конечно вы можете. Он использует субъект-службу для аутентификации. Вам необходимо создать участника службы, которому назначена роль acrpull для ACR.

Вот пример сценария, в котором используется команда CLI:

#!/bin/bash

# Modify for your environment.
# ACR_NAME: The name of your Azure Container Registry
# SERVICE_PRINCIPAL_NAME: Must be unique within your AD tenant
ACR_NAME=<container-registry-name>
SERVICE_PRINCIPAL_NAME=acr-service-principal

# Obtain the full registry ID for subsequent command args
ACR_REGISTRY_ID=$(az acr show --name $ACR_NAME --query id --output tsv)

# Create the service principal with rights scoped to the registry.
# Default permissions are for docker pull access. Modify the '--role'
# argument value as desired:
# acrpull:     pull only
# acrpush:     push and pull
# owner:       push, pull, and assign roles
SP_PASSWD=$(az ad sp create-for-rbac --name http://$SERVICE_PRINCIPAL_NAME --scopes $ACR_REGISTRY_ID --role acrpull --query password --output tsv)
SP_APP_ID=$(az ad sp show --id http://$SERVICE_PRINCIPAL_NAME --query appId --output tsv)

# Output the service principal's credentials; use these in your services and
# applications to authenticate to the container registry.
echo "Service principal ID: $SP_APP_ID"
echo "Service principal password: $SP_PASSWD"

Вы можете получить более подробную информацию в разделе "Проверка подлинности реестра контейнеров Azure с участниками-службами", а также выбрать подходящую роль по мере необходимости при просмотре ролей и разрешений реестра контейнеров Azure.