Azure 容器实例 - 连接到不公开访问的 ACR

Question

我们需要将 ACR 仅暴露给选定的网络（而不是所有网络）。应如何配置容器实例才能从 ACR 中提取映像？我们使用 ARM 模板部署 ACI。

完整上下文：

我们正在 Azure DevOps 中构建映像（使用微软托管的代理，调用

az acr build .. --agent-pool <agentpool-name>

。构建成功，但是当我们想要创建容器实例（使用 Azure Powershell 和 ARM 模板）时，我们收到一个错误，该映像是无法在容器组中访问。

但是，当我使所有网络都可以访问 ACR 时，一切正常，所以我想一定有一些 ACR 设置允许使用 microsoft-agent 将图像从 ACR 拉取到 ACI。

Answer 1

您可以使用 托管身份或服务主体

从 Azure 容器注册表部署到 Azure 容器实例

只有 Azure Kubernetes 服务集群或 Azure 虚拟机可以作为主机来使用服务终结点访问容器注册表。不支持其他 Azure 服务，包括 Azure 容器实例。

https://learn.microsoft.com/en-us/azure/container-registry/container-registry-vnet#preview-limitations

其他 Azure 容器实例限制：

• 目前部署到虚拟网络的容器组仅支持Linux容器。
• 要将容器组部署到子网，该子网不能包含其他资源类型。在将容器组部署到现有子网之前，从现有子网中删除所有现有资源，或者创建新子网。
• 您无法在部署到虚拟网络的容器组中使用托管标识。
• 您无法在部署到虚拟网络的容器组中启用活动探针或就绪探针。
• 由于涉及额外的网络资源，部署到虚拟网络通常比部署标准容器实例慢。
• 目前不支持到端口 25 的出站连接。
• 如果要将容器组连接到 Azure 存储帐户，则必须向该资源添加服务端点。
• 目前不支持 IPv6 地址。

https://learn.microsoft.com/en-us/azure/container-instances/container-instances-virtual-network-concepts#other-limitations

UPD：您可以在部署到虚拟网络的容器组中使用托管身份