【发布时间】：2020-10-14 22:40:27
【问题描述】：
我有一个 azure 应用服务，它从 azure ACR 中提取图像并启动该图像以运行应用程序。
我想要应用服务根据服务原则从 ACR 中提取图像的操作。我的问题是我应该将服务主体分配给哪个资源？ ACR 还是网络服务？
【问题讨论】：
标签： azure azure-container-registry azure-appservice azure-service-principal
【发布时间】：2020-10-14 22:40:27
【问题描述】：
我的问题是我应该为哪个资源分配服务原则 到？ ACR 还是网络服务？
简短的回答是 ACR。其实正确的理解是服务主体应该有从ACR拉取图片的权限，所以需要将ACR的权限分配给服务主体。
【讨论】：
-
@Charlex 但是我怎样才能只让应用服务拉取图像呢？向 ACR 添加具有拉取权限的服务原则是否允许所有资源从中拉取？
-
@SLN 您可以将服务主体视为一个帐户，使用您有权从 ACR 拉取图像的帐户。这不限于某些资源。
-
@SLN 这个问题还有更多更新吗？它解决了你的问题吗？
使用应用服务上的托管标识为后端的应用服务预配服务主体。然后，您可以使用 RBAC 来允许应用服务计划身份访问 ACR。
This shows how to do it with a VM 但它适用于任何支持 MI 的 azure 服务
【讨论】：
-
非常感谢您的帮助。这是一个很好的不使用服务原则。我会尝试通过 Terraform 来实现它。