AKS即使在授予权限后也无法从ACR拉取

Question

我已经按照这个文档提供了对AKS：https://docs.microsoft.com/en-us/azure/container-registry/container-registry-auth-aks的ACR访问，但是仍然得到了身份验证失败的错误。有人能帮我一下吗？

env:
- name: no_cpu
  valueFrom:
    resourceFieldRef:
      containerName: proxy
      resource: requests.cpu
imagePullSecrets:
- name: acr-auth

Answer 1

确保已将acrpull角色分配给ACR资源上的AKS SP (从入口、在IAM选项卡上或使用以下脚本：

#!/bin/bash

AKS_RESOURCE_GROUP=myAKSResourceGroup
AKS_CLUSTER_NAME=myAKSCluster
ACR_RESOURCE_GROUP=myACRResourceGroup
ACR_NAME=myACRRegistry

# Get the id of the service principal configured for AKS
CLIENT_ID=$(az aks show --resource-group $AKS_RESOURCE_GROUP --name $AKS_CLUSTER_NAME --query "servicePrincipalProfile.clientId" --output tsv)

# Get the ACR registry resource id
ACR_ID=$(az acr show --name $ACR_NAME --resource-group $ACR_RESOURCE_GROUP --query "id" --output tsv)

# Create role assignment
az role assignment create --assignee $CLIENT_ID --role acrpull --scope $ACR_ID

)。

然后通过命令行创建pull secret：

kubectl create secret docker-registry acr-auth --docker-server <acr-login-server> --docker-username <service-principal-ID> --docker-password <service-principal-password> --docker-email <email-address>

或

apiVersion: v1
kind: Secret
metadata:
  name: acr-auth
type: docker-registry
data:
  username: <base64encoded username>
  password: <base64encoded password> 

两者是等价的。

Answer 2

您需要从pod\deployment定义中删除imagepullsecrets属性。这样，您将指示kubernetes使用内部ak\acr身份验证