Compartilhar via

Visão geral das permissões e atribuições de função do Registro de Contêiner do Azure Entra

O ACR (Registro de Contêiner do Azure) oferece um conjunto de funções internas que fornecem gerenciamento de permissões baseado no Microsoft Entra para um registro do ACR. Usando o RBAC (controle de acesso baseado em função) do Azure, você pode atribuir uma função interna a usuários, identidades gerenciadas ou entidades de serviço para conceder permissões baseadas no Microsoft Entra definidas dentro da função. Você também pode definir e atribuir funções personalizadas com permissões refinadas adaptadas às suas necessidades específicas se as funções internas não atenderem às suas necessidades.

Tipos de identidade de atribuição de função com suporte

As funções ACR podem ser atribuídas aos seguintes tipos de identidade para conceder permissões a um registro:

Observe que o Registro conectado ao ACR, a oferta de registro local do ACR que difere do ACR baseado em nuvem, não dá suporte a atribuições de função do Azure e ao gerenciamento de permissões baseadas em Entra.

Executar atribuições de função para conceder permissões

Consulte Etapas para adicionar uma atribuição de função para obter informações sobre como atribuir uma função a uma identidade. As atribuições de função podem ser feitas usando:

Para executar atribuições de função, você deve ter a função Owner ou a função Role Based Access Control Administrator no registro.

Delimitação de atribuições de função para repositórios específicos

Você pode usar o ABAC (controle de acesso baseado em atributos) do Microsoft Entra para gerenciar permissões de repositório baseadas no Microsoft Entra. Esse recurso permite que você escopo atribuições de função a repositórios específicos em um registro.

Para obter uma visão geral das permissões do repositório ABAC do Microsoft Entra, incluindo as funções integradas do ACR que dão suporte às condições ABAC do Microsoft Entra, consulte Permissões de repositório baseadas no Microsoft Entra. Como alternativa, você pode consultar a referência de diretório de funções do Registro de Contêiner do Azure para obter uma lista de funções internas que dão suporte a condições do ABAC do Microsoft Entra.

Aplique o princípio de privilégio mínimo atribuindo apenas as permissões necessárias para que uma identidade execute sua função pretendida. Cada um desses cenários comuns tem uma função interna recomendada.

Observação

As funções internas aplicáveis e o comportamento da função dependem do "modo de permissões de atribuição de função" do registro. Isso é visível na folha "Propriedades" no portal do Azure:

  • Permissões do Repositório do RBAC + ABAC: dá suporte a atribuições de função RBAC padrão com condições do ABAC opcionais do Microsoft Entra para atribuições de escopo para repositórios específicos.
  • Permissões de Registro do RBAC: dá suporte apenas a atribuições padrão de RBAC sem condições do ABAC.

Para obter detalhes sobre o ABAC do Microsoft Entra e as funções habilitadas para ABAC, consulte permissões de repositório baseadas no Microsoft Entra.

  • Cenário: identidades que precisam efetuar pull de imagens e validar artefatos da cadeia de fornecedores, como desenvolvedores, pipelines e orquestradores de contêineres (por exemplo, identidade do kubelet do nó do Serviço de Kubernetes do Azure, Aplicativos de Contêiner do Azure, Instâncias de Contêiner do Azure, workspaces do Azure Machine Learning)

    • Função: Container Registry Repository Reader
    • Finalidade: concede acesso somente leitura do plano de dados para efetuar pull de imagens e artefatos, visualizar marcas, repositórios, referenciadores da Open Container Initiative (OCI) e configurações de transmissão de artefatos. Não inclui nenhuma permissão do painel de controle ou de gravação. Não concede permissões de lista de catálogos de repositório para listar repositórios no registro.
    • Suporte ao ABAC: essa função dá suporte a condições opcionais ABAC do Microsoft Entra para definir atribuições de função para repositórios específicos no registro.

  • Cenário: identidades como pipelines de build de CI/CD e desenvolvedores que criam e enviam imagens por push, bem como gerenciam marcas de imagem

    • Função: Container Registry Repository Writer
    • Permissões: concede acesso ao plano de dados para enviar por push, e efetuar pull e atualizar (mas não excluir) imagens e artefatos, marcas de leitura/gerenciamento, referenciadores OCI de leitura/gerenciamento e habilitar (mas não desabilitar) o streaming de artefatos para repositórios e imagens. Não inclui nenhuma permissão do painel de controle. Não concede permissões de lista de catálogos de repositório para listar repositórios no registro.
    • Suporte ao ABAC: essa função dá suporte a condições opcionais ABAC do Microsoft Entra para definir atribuições de função para repositórios específicos no registro.

  • Cenário: identidades que precisam excluir imagens, artefatos, marcas e referenciadores OCI

    • Função: Container Registry Repository Contributor
    • Permissões: concede permissões para ler, gravar, atualizar e excluir imagens e artefatos, ler/gerenciar/excluir tags, ler/gerenciar/excluir referenciadores OCI e habilitar/desabilitar o streaming de artefatos para repositórios e imagens. Não inclui nenhuma permissão do painel de controle. Não concede permissões de lista de catálogos de repositório para listar repositórios no registro.
    • Suporte ao ABAC: essa função dá suporte a condições opcionais ABAC do Microsoft Entra para definir atribuições de função para repositórios específicos no registro.

  • Cenário: identidades que precisam listar todos os repositórios no registro

    • Função: Container Registry Repository Catalog Lister
    • Permissões: concede acesso ao plano de dados para listar todos os repositórios no registro, inclusive por meio dos pontos de extremidade da API de registro{loginServerURL}/acr/v1/_catalog ou {loginServerURL}/v2/_catalog. Não inclui permissões ou permissões do painel de controle para efetuar push/pull de imagens.
    • Suporte ao ABAC: essa função não oferece suporte para condições ABAC do Microsoft Entra. Dessa forma, essa atribuição de função concederá permissões para listar todos os repositórios no registro.

  • Cenário: pipelines, identidades e desenvolvedores que assinam imagens

    • Para assinar imagens com referenciadores da OCI, como o Notary Project:
      • Função: Container Registry Repository Writer
      • Permissões: concede acesso ao plano de dados para enviar assinaturas por push na forma de referenciadores da OCI anexados a imagens e artefatos. Não inclui nenhuma permissão do painel de controle.
      • Suporte ao ABAC: essa função dá suporte a condições opcionais ABAC do Microsoft Entra para definir atribuições de função para repositórios específicos no registro.
    • Para assinar imagens com Docker Content Trust (DCT):
      • Não há suporte para a assinatura de imagens com DCT para registros habilitados para ABAC.

  • Cenário: pipelines, identidades e desenvolvedores que precisam criar, atualizar ou excluir registros do ACR

  • Cenário: pipelines, engenheiros de infraestrutura ou ferramentas de observabilidade/monitoramento do plano de controle que precisam listar registros e exibir configurações do registro, mas não acesso a imagens do registro

    • Função: Container Registry Configuration Reader and Data Access Configuration Reader
    • Permissões: equivalente somente leitura da função Container Registry Contributor and Data Access Configuration Administrator. Concede acesso ao plano de controle para exibir e listar registros e inspecionar as configurações do Registro, mas não modificá-las. Não inclui operações do plano de dados (por exemplo, envio/recepção de imagem) ou capacidades de atribuição de função.
    • Suporte ao ABAC: essa função não dá suporte às condições ABAC do Microsoft Entra, pois a função tem como escopo o nível do registro, concedendo permissões para ler as configurações do plano de controle para todo o registro.

  • Cenário: ferramentas de escaneamento de vulnerabilidade que precisam auditar registros e suas configurações, além de acessar as imagens de registros para escanear vulnerabilidades

    • Funções: Container Registry Repository Reader, Container Registry Repository Catalog Listere Container Registry Configuration Reader and Data Access Configuration Reader
    • Permissões: concede acesso ao painel de controle para exibir e listar registros do ACR, bem como auditar as configurações do Registro para auditoria e conformidade. Também concede permissões para obter imagens, artefatos e tags de visualização, a fim de verificar e analisar imagens em busca de vulnerabilidades.
    • Suporte ao ABAC: o ACR recomenda que os scanners e monitores de vulnerabilidade tenham acesso completo à camada de dados para todos os repositórios cadastrados no registro. Dessa forma, essas funções devem ser atribuídas sem condições do ABAC do Microsoft Entra para conceder permissões de função sem escopo para repositórios específicos.

  • Cenário: pipelines e identidades que orquestram tarefas do ACR

  • Cenário: identidades tais como pipelines e desenvolvedores que importam imagens com az acr import

    • Função: Container Registry Data Importer and Data Reader
    • Permissões: concede acesso ao painel de controle para disparar importações de imagem usando az acr import e acesso ao plano de dados para validar o sucesso da importação (efetuar pull de imagens e artefatos importados, exibir conteúdo do repositório, listar referenciadores da OCI e inspecionar marcas importadas). Não permite realizar push ou modificar qualquer conteúdo no registro.
    • Suporte ao ABAC: Essa função não dá suporte a condições ABAC do Microsoft Entra, pois a função tem escopo no nível do Registro, concedendo permissões para importar imagens para qualquer repositório dentro do Registro. Ele também concede permissões para ler imagens em todos os repositórios no registro.

  • Cenário: identidades como pipelines e desenvolvedores que gerenciam pipelines de transferência do ACR para transferir artefatos entre registros usando contas de armazenamento intermediárias entre limites de rede, locatário ou lacuna de ar

    • Função: Container Registry Transfer Pipeline Contributor
    • Permissões: concede acesso ao painel de controle para gerenciar pipelines de transferência de importação/exportação do ACR e execuções de pipeline usando contas de armazenamento intermediárias. Não inclui permissões de plano de dados, acesso mais amplo ao Registro ou permissões para gerenciar outros tipos de recursos do Azure, como contas de armazenamento ou cofres de chaves.
    • Suporte ao ABAC: essa função não dá suporte a condições do ABAC do Microsoft Entra, pois a função tem como escopo o nível do Registro, concedendo permissões para gerenciar todos os pipelines de transferência do ACR no registro.

  • Cenário: Gerenciamento de imagens em quarentena

    • Funções: AcrQuarantineReader e AcrQuarantineWriter
    • Permissões: gerenciar imagens em quarentena no registro, incluindo listagem e obtenção de imagens em quarentena para inspeção adicional, além de modificar o status de quarentena das imagens. As imagens em quarentena são imagens enviadas por push que não podem ser transferidas ou usadas até que sejam retiradas da quarentena.
    • Suporte ao ABAC: essa função não dá suporte a condições do ABAC do Microsoft Entra, pois a função tem como escopo o nível do Registro, concedendo permissões para gerenciar todas as imagens em quarentena no registro.

  • Cenário: desenvolvedores ou processos que configuram a limpeza automática do registro em Tarefas do ACR

    • Função: Container Registry Tasks Contributor
    • Permissões: concede permissões do plano de controle para gerenciar a limpeza automática, que é executada em Tarefas do ACR.
    • Suporte ao ABAC: essa função não dá suporte a condições do ABAC do Microsoft Entra, pois a função tem como escopo o nível do Registro, concedendo permissões para gerenciar todas as Tarefas do ACR no registro.

  • Cenário: usuários da extensão do Docker do Visual Studio Code

    • Funções: Container Registry Repository Writer, Container Registry Tasks Contributore Container Registry Contributor and Data Access Configuration Administrator
    • Permissões: concede recursos para procurar registros, efetuar pull e push de imagens e criar imagens usando az acr build, dando suporte a fluxos de trabalho comuns do desenvolvedor no Visual Studio Code.
    • Suporte ao ABAC: o ACR recomenda que os usuários do Visual Studio Code tenham acesso completo ao plano de dados a todos os repositórios no registro. Dessa forma, essas funções devem ser atribuídas sem condições do ABAC do Microsoft Entra para conceder permissões de função sem escopo para repositórios específicos.

Próximas etapas