Co je připojený registr?

Funkce připojeného registru služby Azure Container Registry umožňuje místní nebo vzdálenou repliku, která synchronizuje image kontejnerů s cloudovým registrem kontejnerů Azure. Pomocí připojeného registru můžete urychlit přístup k artefaktům registru hostovaným místně nebo vzdáleně.

Cloudový registr kontejnerů Azure poskytuje funkce, včetně geografické replikace, integrovaného zabezpečení, úložiště spravovaného Azure a integrace s kanály vývoje a nasazení Azure. Můžete ale chtít rozšířit investice do cloudu na vaše místní a polní řešení, což vyžaduje možnosti mimo standardní cloudový registr kontejnerů Azure nebo může mít přerušované nebo omezené připojení ke cloudu.

V místních nebo vzdálených prostředích musí být image kontejnerů a související artefakty dostupné v blízkosti, aby byl zachován výkon a spolehlivost úloh kontejnerů. Připojené registry poskytují výkonné místní řešení registru, které pravidelně synchronizuje obsah s cloudovým registrem kontejnerů Azure.

Ceny a dostupnost

Funkce připojeného registru je aktuálně dostupná jenom pro úroveň službyPremium (SKU).

Připojený registr můžete nasadit v libovolné oblasti, kde je služba Azure Container Registry dostupná.

Změny fakturace připojeného registru začínají 1. srpna 2025. Mezi tyto změny patří měsíční poplatek použitý u předplatného Azure přidruženého k nadřazenému registru. Další informace najdete v tématu o cenách služby Azure Container Registry.

Jak funguje připojený registr?

Připojený registr můžete nasadit na místní server nebo zařízení nebo v prostředí, které podporuje úlohy kontejnerů v místním prostředí, jako je Kubernetes s podporou Azure Arc. Připojený registr synchronizuje image kontejnerů a další artefakty OCI (Open Container Initiative) s cloudovým registrem kontejnerů Azure.

Následující diagram znázorňuje typický model nasazení připojeného registru pomocí clusteru Kubernetes s podporou Azure Arc.

Nasazení a synchronizace

Každý připojený registr spravujete jako prostředek v cloudovém registru kontejneru Azure. Tento registr kontejneru Azure je nadřazený připojený registr.

Připojené rozšíření Registru Arc můžete nasadit do clusteru Kubernetes s podporou Arc. Připojení zabezpečte pomocí protokolu TLS (Transport Layer Security) s výchozími konfiguracemi pro přístup jen pro čtení a okno průběžné synchronizace. Toto nastavení umožňuje připojenému registru synchronizovat image z registru kontejneru Azure (ACR) do místního připojeného registru, což umožňuje načtení image z připojeného registru.

Stav aktivace připojeného registru označuje, jestli je nasazený místně (aktivní) nebo není aktuálně nasazený (Neaktivní).

Jakmile je připojený registr aktivní, pravidelně přistupuje ke cloudovému registru za účelem synchronizace imagí kontejnerů a artefaktů OCI.

Synchronizaci můžete také nakonfigurovat tak, aby synchronizovala podmnožinu úložišť z cloudového registru nebo synchronizovala pouze v určitých intervalech, aby se snížil provoz mezi cloudem a místním prostředím.

Režimy

Připojený registr funguje v jednom ze dvou režimů: ReadWrite nebo ReadOnly.

ReadOnly mode je výchozí. Když je připojený registr v ReadOnly režimu, můžou klienti stahovat pouze artefakty pro čtení. Tuto konfiguraci použijte ve scénářích, kdy klienti potřebují vyžádat image kontejneru, aby mohli pracovat. Tento výchozí režim odpovídá standardnímu přístupu zabezpečení.

ReadWrite mode – Tento režim umožňuje klientům vyžádat a odeslat artefakty (čtení a zápis) do připojeného registru. Artefakty, které nasdílíte do připojeného registru, se synchronizují s cloudovým registrem. Režim ReadWrite je užitečný, když je místní vývojové prostředí zavedené. Snímky odevzdáte do místního připojeného registru a odtud se synchronizují do rodičovského cloudového registru.

Připojené registry musí být kompatibilní s jejich nadřazenými funkcemi registru. Pokud nadřazený registr používá ReadWrite režim, můžou podřízené registry použít některý z těchto režimů. Pokud však nadřazený registr používá ReadOnly režim, podřízené registry musí také používat ReadOnly režim.

Přístup klientů

Místní klienti používají standardní nástroje, jako je rozhraní příkazového řádku Dockeru, k nasdílení nebo vyžádání obsahu z připojeného registru. Pokud chcete spravovat přístup klientů, vytvořte tokeny Azure Container Registry nezávislé na Microsoft Entra pro přístup ke každému připojenému registru. Můžete určit oprávnění klientských tokenů pro přístup typu pull nebo push k jednomu či více úložištím v registru.

Každý připojený registr musí také pravidelně komunikovat s nadřazeným registrem. Pro tento účel registr cloudu vydá registr token synchronizace (token synchronizace). Tento token použijte k ověření v nadřazeném registru pro operace synchronizace a správy.

Následující diagram znázorňuje, jak každý připojený registr používá dva různé typy tokenů.

Důležité

Ukládejte hesla tokenů pro každý připojený registr v bezpečném umístění. Po jejich vytvoření nemůžete načíst hesla tokenů. Hesla tokenů můžete kdykoli znovu vygenerovat.

Klientské tokeny

Pokud chcete spravovat přístup klientů k připojenému registru, vytvořte tokeny vymezené pro akce v jednom nebo několika úložištích. Po vytvoření tokenu nakonfigurujte připojený registr tak, aby token přijímal pomocí příkazu az acr connected-registry update . Klient pak může pomocí přihlašovacích údajů tokenu získat přístup ke koncovému bodu připojeného registru, aby mohl pomocí příkazů Rozhraní příkazového řádku Dockeru vyžádat nebo odeslat image do připojeného registru.

Aktualizujte klientské tokeny, hesla nebo mapování oborů podle potřeby pomocí příkazu az acr token a az acr scope-map . Aktualizace tokenů klienta se automaticky rozšíří do připojených registrů, které token přijímají.

Klientský token přistupuje ke koncovému bodu připojeného registru. Připojený koncový bod registru je identifikátor URI přihlašovacího serveru, což je obvykle IP adresa serveru nebo zařízení, na němž je hostován.

Synchronizační token

Každý připojený registr používá synchronizační token k ověření s okamžitým nadřazeným objektem, což může být jiný připojený registr nebo cloudový registr.

Token synchronizace a hesla se automaticky vygenerují při vytváření připojeného prostředku registru. Spuštěním příkazu [az acr connected-registry get-settings][/cli/azure/acr/connected-registry#az-acr-connected-registry-get-settings] vygenerujte hesla nebo je aktualizujte na webu Azure Portal.

Ve výchozím nastavení má token synchronizace oprávnění k synchronizaci vybraných úložišť s nadřazeným objektem. Má také oprávnění ke čtení a zápisu synchronizačních zpráv v bráně sloužící ke komunikaci s nadřazeným objektem připojeného registru. Tyto zprávy řídí plán synchronizace a spravují další aktualizace mezi připojeným registrem a nadřazeným objektem.

Aktualizujte synchronizační tokeny, hesla nebo mapování oborů podle potřeby pomocí příkazu az acr token a az acr scope-map . Aktualizace tokenů synchronizace se automaticky rozšíří do připojeného registru. Při aktualizaci synchronizačního tokenu dodržujte standardní postupy obměně hesel.

Poznámka:

Synchronizační token nemůžete odstranit, dokud neodstraníte připojený registr přidružený k tokenu. Chcete-li zakázat připojený registr, nastavte stav tokenu synchronizace na disabledhodnotu .

Synchronizační token přistupuje ke koncovému bodu nadřazeného registru, což je jiný připojený koncový bod registru nebo samotný cloudový registr. Při přístupu ke cloudovému registru musí token synchronizace přistupovat ke dvěma koncovým bodům registru:

• Plně kvalifikovaný název přihlašovacího serveru, například contoso.azurecr.io. Tento koncový bod se používá k ověřování.
• Plně kvalifikovaný regionální datový koncový bod pro cloudový registr, například contoso.westus2.data.azurecr.io. Tento koncový bod slouží k výměně zpráv s připojeným registrem pro účely synchronizace.

Aktuální omezení

Při používání připojených registrů mějte na paměti následující omezení:

• Počet tokenů a map rozsahů pro jeden registr kontejnerů je omezený na 20 000. Tento limit nepřímo omezuje počet připojených registrů pro cloudový registr, protože každý připojený registr potřebuje synchronizační token a klientský token.
• Počet oprávnění úložiště v mapě oboru je omezený na 500.
• Počet klientů připojeného registru je omezen na 50.
• Počet připojených registrů na registr kontejneru je omezený na 50.
• U připojených registrů se nepodporuje zamykání obrázků prostřednictvím úložiště, manifestu nebo metadat značek.
• Odstranění úložiště není v připojeném registru při použití režimu ReadOnly podporované.
• Protokoly zdrojů pro připojené registry nejsou podporovány.
• Připojený registr je propojený s koncovým bodem dat domovského regionu registru. Automatická migrace pro geografickou replikaci se nepodporuje.
• Odstranění připojeného registru vyžaduje ruční odebrání kontejnerů v místním prostředí a odebrání příslušných map oborů nebo tokenů v cloudu.
• Omezení synchronizace připojeného registru jsou následující:
  • Pro průběžnou synchronizaci:
    • minMessageTtl je jeden den.
    • maxMessageTtl je 90 dní.
  • V případě příležitostně propojených scénářů, ve kterých chcete zadat okno synchronizace:
    • minSyncWindow je 1 hod.
    • maxSyncWindow je sedm dní.

Další kroky

• Zjistěte, jak vytvořit připojený prostředek registru a nasadit připojený registr do Kubernetes s podporou Azure Arc.