Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Ověřování Microsoft Entra pomocí služby Azure Container Registry (ACR) probíhá prostřednictvím dvoustupňového procesu. Nejprve se uživatelé ověřují pomocí Microsoft Entra ID, aby získali ověřovací token s konkrétním oborem cílové skupiny ověřování (například az login). Dále se uživatelé ověřují v registru pomocí ověřovacího tokenu Microsoft Entra (například az acr login). Ve výchozím nastavení v druhém kroku při ověřování registru přijímají registry ověřování Microsoft Entra s oborem ARM (široký přístup k Azure Resource Manageru) a ověřování Microsoft Entra s oborem ACR (úzký přístup specifický pro registr). Pro lepší zabezpečení můžete nakonfigurovat registr tak, aby přijímal pouze ověřování Microsoft Entra s oborem ACR.
Poznámka:
Některé služby a integrace Azure nemusí fungovat, když je váš registr nakonfigurovaný tak, aby přijímal pouze ověřování Microsoft Entra s oborem ACR. Před vynucením této konfigurace v produkčním prostředí otestujte kompatibilitu v neprodukčních prostředích.
V tomto článku se dozvíte, jak nakonfigurovat registr kontejneru pro ověřování Microsoft Entra s oborem ACR pomocí Azure CLI nebo webu Azure Portal.
Požadavky
-
Nainstalujte nebo upgradujte Azure CLI verze 2.40.0 nebo novější. Verzi zjistíte spuštěním příkazu
az --version. - Přihlaste se do Azure Portalu.
Pochopení rozsahů ověřování Microsoft Entra pro ACR
Tato část vysvětluje dvoukrokový ověřovací proces, rozdíl mezi rozsahy ověřování a způsob, jakým konfigurace registru řídí přístup.
Tok ověřování se dvěma kroky
Ověřování pomocí ACR zahrnuje dva různé kroky, které platí pro uživatele Azure CLI, služby Azure a programový kód pomocí sad SDK (Software Development Kit):
První úsek – Ověření pomocí ID Microsoft Entra: Spusťte
az loginpro ověření pomocí ID Microsoft Entra a získejte ověřovací token Microsoft Entra. Tento token obsahuje rozsah cílové skupiny, který určuje, k jakým prostředkům Azure má přístup:- Ve výchozím nastavení
az loginzíská ověřovací token Microsoft Entra s oborem ARM (rozsáhlý přístup k Azure Resource Manageru). - Pomocí
az login --scope https://containerregistry.azure.net/.defaultzískáte ověřovací token Microsoft Entra s oborem ACR (omezený přístup specifický pro konkrétní registr).
- Ve výchozím nastavení
Druhý krok – Ověření pomocí služby ACR: Spusťte
az acr loginpro ověření ve službě ACR pomocí ověřovacího tokenu Microsoft Entra z prvního kroku. V tomto okamžiku konfigurace registru určuje, jestli se má na základě rozsahu ověřovacího tokenu Microsoft Entra přijmout nebo odmítnout váš pokus o ověření registru.
Typy rozsahu ověřování Microsoft Entra
Ověřování Microsoft Entra v rozsahu ARM
- Poskytuje široký přístup k Azure Resource Manageru (ARM), řídicí rovině pro správu všech prostředků Azure.
- Tento typ oboru je výchozí při spuštění
az loginbez dalších parametrů. - Ověřovací tokeny Microsoft Entra s oborem ARM jsou příliš permisivní pro operace registru kontejnerů, protože umožňují přístup nad rámec toho, co potřebujete k ověřování registru.
Ověřování Microsoft Entra omezené na ACR
- Poskytuje úzký přístup specifický pro registr omezený pouze na operace ACR.
- Vyžaduje explicitně zadat
--scope https://containerregistry.azure.net/.defaultběhemaz login. - Dodržuje zásadu nejnižšího oprávnění tím, že uděluje pouze oprávnění potřebná pro operace registru kontejneru.
Možnosti konfigurace registru
Konfigurace registru kontrolovaná vlastností azureADAuthenticationAsArmPolicy určuje, co se stane během druhého kroku ověřování (az acr login):
- Je-li povoleno (výchozí): Registr přijímá ověřování Microsoft Entra s oborem ARM i ACR.
- Při zakázání (doporučeno): Registr přijímá pouze ověřování Microsoft Entra s oborem ACR a odmítne ověřování s oborem ARM.
Important
Při používání Web Apps s Azure Container Registry (ACR) využívá stahování imagí přihlašovací údaje s rozsahem ARM. Zakázání ověřování ARM v registru způsobí selhání stahování obrazu.
Proč ACR doporučuje pouze ověřování v rozsahu ACR
Konfigurace registru tak, aby přijímala pouze ověřování Microsoft Entra s oborem ACR, nabízí několik výhod:
- Rozšířené zabezpečení: Omezuje ověřování na úzce vymezené ověřovací tokeny Microsoft Entra a snižuje prostor pro útoky.
- Přístup s nejnižšími oprávněními: Zajišťuje, aby ověřovací tokeny Microsoft Entra používané pro ověřování registru měly pouze oprávnění potřebná pro operace registru kontejneru.
- Sladění dodržování předpisů: Pomáhá splňovat požadavky na zabezpečení a dodržování předpisů, které vyžadují minimální vzory přístupu k oprávněním.
- Osvědčený postup: Je v souladu s osvědčenými postupy zabezpečení Azure pro správu identit a přístupu.
Konfigurace registru pro ověřování Microsoft Entra s oborem ACR – Azure CLI
Registr můžete nakonfigurovat tak, aby kontroloval, které rozsahy ověřování Microsoft Entra přijímat během druhého kroku ověřování. Vlastnost azureADAuthenticationAsArmPolicy řídí tuto konfiguraci.
Vyžaduje Azure CLI verze 2.40.0 nebo novější. Pokud chcete najít svou verzi, spusťte az --versionpříkaz .
Kontrola aktuální konfigurace registru
Spuštěním následujícího příkazu zobrazte aktuální konfiguraci registru:
az acr config authentication-as-arm show -r <registry>
Hodnota stavu zobrazuje aktuální konfiguraci:
- enabled (default): Registr přijímá ověřování Microsoft Entra s oborem ARM i ACR.
- disabled (doporučeno): Registr přijímá pouze ověřování pomocí Microsoft Entra s rozsahem ACR.
Aktualizace konfigurace registru
Pokud chcete nakonfigurovat registr tak, aby přijímal pouze ověřování Microsoft Entra s oborem ACR, nastavte stav na disabled:
az acr config authentication-as-arm update -r <registry> --status disabled
Pokud se chcete vrátit k výchozí konfiguraci, která přijímá ověřování Microsoft Entra s oborem ARM i ACR:
az acr config authentication-as-arm update -r <registry> --status enabled
Ověřte se pomocí ověřování Microsoft Entra specifického pro ACR.
Tato část ukazuje, jak provést tok ověřování dvojitým krokem pomocí ověřování Microsoft Entra v rozsahu ACR. Tato metoda ověřování funguje s oběma konfiguracemi registru, ale vyžaduje se, když je váš registr nakonfigurovaný tak, aby přijímal pouze ověřování Microsoft Entra s oborem ACR.
První krok: Získání ověřovacího tokenu Microsoft Entra s oborem ACR
Pokud chcete získat ověřovací token Microsoft Entra s oborem ACR, zadejte parametr --scope při spuštění az login:
az login --scope https://containerregistry.azure.net/.default
Tento příkaz ověřuje vaši identitu pomocí Microsoft Entra ID a získá ověřovací token Microsoft Entra s oborem specifickým pro ACR. Ověřovací token je uložený v místní mezipaměti.
Poznámka:
Chcete-li získat ověřovací token Microsoft Entra vymezený pro službu ACR, je nutné zadat https://containerregistry.azure.net/.default.
Jako obor nemůžete zadat https://registryname.azurecr.io/ , protože ID Microsoft Entra a ACR nepodporují cílové skupiny ověřování Microsoft Entra specifické pro registr.
Druhý krok: Ověřování pomocí registru
Po získání ověřovacího tokenu Microsoft Entra s oborem ACR při prvním kroku proveďte ověření u vašeho registru:
az acr login -n <registry>
Během druhého skoku registr ověří váš ověřovací token Microsoft Entra. Pokud nakonfigurujete registr tak, aby přijímal pouze ověřování s oborem ACR, odmítne tokeny s oborem ARM a přijme pouze ověřovací token ACR s oborem Microsoft Entra, který jste získali v prvním kroku.
Ověřovací token Microsoft Entra s oborem ACR můžete použít k ověření u všech registrů ACR, ke kterým máte oprávnění k přístupu.
Konfigurace registru pro ověřování Microsoft Entra v rámci ACR – Azure Portal
Azure Policy můžete použít ke konfiguraci registrů tak, aby přijímaly pouze ověřování Microsoft Entra s oborem ACR. Přiřazení předdefinované zásady automaticky nakonfiguruje vlastnost registru pro aktuální a budoucí registry v rámci oboru zásad. Zásady můžete použít na úrovni skupiny prostředků nebo na úrovni předplatného.
Azure Container Registry poskytuje dvě předdefinované definice zásad pro konfiguraci ověřování Microsoft Entra s oborem ACR:
-
Container registries should have ARM audience token authentication disabled.– Tato zásada hlásí a blokuje nevyhovující prostředky a může automaticky aktualizovat nedodržující registry na doporučenou konfiguraci. -
Configure container registries to disable ARM audience token authentication.– Tato zásada nabízí možnosti nápravy a aktualizuje nevyhovující registry tak, aby přijímaly pouze ověřování s oborem ACR.
Další definice zásad najdete v tématu Předdefinované definice zásad ve službě Azure Container Registry.
Přiřaďte definici vestavěné politiky
Konfigurace registrů tak, aby přijímaly pouze ověřování Microsoft Entra s oborem ACR pomocí služby Azure Policy:
Přihlaste se do Azure Portalu.
Přejděte do skupiny prostředků, která obsahuje službu Azure Container Registry.
V nabídce služby v části Nastavení vyberte Zásady.
Na stránce Zásady v části Vytváření vyberte Přiřazení a vyberte Přiřadit zásadu.
Na kartě Přiřadit zásadu použijte filtry k vyhledání oboru, definice zásady a názvu přiřazení.
Vyberte Obor , ve které chcete filtrovat a hledat předplatné a skupinu prostředků , a zvolte Vybrat.
Výběrem definice zásady můžete filtrovat a vyhledávat předdefinované definice zásad, které konfigurují ověřování s oborem ACR.
Filtry slouží k výběru a potvrzení oboru, definice zásady a názvu přiřazení.
Pomocí filtrů omezte stavy dodržování předpisů nebo vyhledejte zásady.
Potvrďte nastavení a nastavte vynucení zásad jako povolené. Toto nastavení zajišťuje, že politika konfiguruje registry v daném rozsahu tak, aby přijímaly pouze autentizaci Microsoft Entra s ACR rozsahem.
Vyberte Zkontrolovat + Vytvořit.