Perguntas frequentes - Azure Container Registry no Azure Stack Hub

Sim. Aqui está um modelo que você pode usar para criar um registro. Este modelo é para a nuvem pública do Azure. Para usar esse modelo no Azure Stack Hub, modifique a versão da API para 2019-05-01, caso contrário, ele não será implantado.

N.º Atualmente, não há integração com a Central de Segurança do Azure para registros implantados no Azure Stack Hub. Há opções de 3ª parte e de código aberto que podem ser aproveitadas para preencher essa necessidade de implantações do Azure Stack Hub conectadas ou desconectadas.

Consulte a documentação do Kubernetes e as etapas do Serviço Kubernetes do Azure.

Antes de obter credenciais de administrador, verifique se o usuário administrador do registro está habilitado.

Para obter credenciais usando a CLI do Azure:

az acr credential show -n myRegistry

Com o Azure PowerShell:

Invoke-AzureRmResourceAction -Action listCredentials -ResourceType Microsoft.ContainerRegistry/registries -ResourceGroupName myResourceGroup -ResourceName myRegistry

Antes de obter credenciais de administrador, verifique se o usuário administrador do registro está habilitado.

Para obter a primeira palavra-passe:

{
    "password": "[listCredentials(resourceId('Microsoft.ContainerRegistry/registries', 'myRegistry'), '2017-10-01').passwords[0].value]"
}

Para obter a segunda senha:

{
    "password": "[listCredentials(resourceId('Microsoft.ContainerRegistry/registries', 'myRegistry'), '2017-10-01').passwords[1].value]"
}

Você pode executar uma transferência de imagem máquina a máquina através de uma rede local a partir de uma máquina que já tenha a(s) imagem(ns) de contêiner necessária(s). Para tal:

1. Primeiro, recupere a(s) imagem(ns) de contêiner necessária(s) usando uma máquina com conectividade com a Internet usando a CLI do docker e o comando pull do docker. Consulte Importar imagens de contêiner para um registro de contêiner para obter mais informações.

2. Depois de importar a(s) imagem(ns) necessária(s), transporte a máquina para o local da instância desconectada do Hub do Azure.

3. Use os comandos docker tag e docker push para marcar e enviar a imagem para o Registro de Contêiner do Azure local no repositório do Azure Stack Hub.

O Registro de Contêiner do Azure dá suporte à API HTTP V2 do Registro do Docker. As APIs podem ser acessadas em https://<your registry login server>/v2/. Exemplo: https://mycontainerregistry.azsacr.<regionname>.<fqdn>/v2/

Se você está em bash:

az acr manifest list-metadata --name myRepository --registry myRegistry --query "[?tags[0]==null].digest" --output tsv  | xargs -I% az acr repository delete --name myRegistry --image myRepository@%

Para o PowerShell:

az acr manifest list-metadata --name myRepository --registry myRegistry --query "[?tags[0]==null].digest" --output tsv | %{ az acr repository delete --name myRegistry --image myRepository@$_ }

Para obter mais informações, consulte Excluir imagens de contêiner no Registro de Contêiner do Azure.

Essa situação pode acontecer se as camadas subjacentes ainda estiverem sendo referenciadas por outras imagens de contêiner. Se você excluir uma imagem sem referências, o uso do registro será atualizado em poucos minutos.

Crie uma imagem com uma camada de 1GB usando o seguinte arquivo docker. Isso garante que a imagem tenha uma camada que não é compartilhada por nenhuma outra imagem no registro.

FROM alpine
RUN dd if=/dev/urandom of=1GB.bin  bs=32M  count=32
RUN ls -lh 1GB.bin

Crie e envie a imagem para o seu registro usando a CLI do docker.

docker build -t myregistry.azsacr.<regionname>.<fqdn>/1gb:latest .
docker push myregistry.azsacr.<regionname>.<fqdn>/1gb:latest

Você deve ser capaz de ver que o uso de armazenamento aumentou no portal do Azure Stack Hub, ou você pode consultar o uso usando a CLI.

az acr show-usage -n myregistry

Exclua a imagem usando a CLI ou o portal do Azure e verifique o uso atualizado em alguns minutos.

az acr repository delete -n myregistry --image 1gb

Você precisa executar o contêiner da CLI do Azure montando o soquete do Docker:

docker run -it -v /var/run/docker.sock:/var/run/docker.sock azuresdk/azure-cli-python:dev

No contentor, instale docker:

apk --update add docker

Em seguida, autentique-se com seu registro:

az acr login -n MyRegistry

Habilite o TLS 1.2 usando qualquer cliente docker recente (versão 18.03.0 e superior).

Não, a versão atual do Registro de contêiner do Azure no Azure Stack Hub dá suporte apenas à SKU "Padrão" e não dá suporte à Confiança de Conteúdo.

O Registro de Contêiner do Azure dá suporte a funções personalizadas que fornecem diferentes níveis de permissões. Especificamente, AcrPull as funções permitem AcrPush que os usuários extraiam e/ou enviem imagens por push sem a permissão para gerenciar o recurso do Registro no Azure.

• Portal do Azure Stack Hub: Seu registro -> Controle de acesso (IAM) -> Adicionar (Selecionar AcrPull ou AcrPush para a função).

• CLI do Azure: localize a ID do recurso do Registro executando o seguinte comando:

  az acr show -n myRegistry
  

  Em seguida, você pode atribuir a AcrPull função ou AcrPush a um usuário (o exemplo a seguir usa AcrPull):

  az role assignment create --scope resource_id --role AcrPull --assignee user@example.com
  

  Ou atribua a função a uma entidade de serviço identificada por sua ID de aplicativo:

  az role assignment create --scope resource_id --role AcrPull --assignee 00000000-0000-0000-0000-000000000000
  

O cessionário pode então autenticar e aceder às imagens no registo.

• Para autenticar num registo:

  az acr login -n myRegistry 
  

• Para listar repositórios:

  az acr repository list -n myRegistry
  

• Para extrair uma imagem:

  docker pull myregistry.azsacr.<regionname>.<fqdn>/hello-world
  

Com o uso apenas da AcrPull função ou AcrPush , o cessionário não tem permissão para gerenciar o recurso do Registro no Azure. Por exemplo, az acr list ou az acr show -n myRegistry não mostrará o registro.

Uma camada não distribuível em um manifesto contém um parâmetro de URL do qual o conteúdo pode ser buscado. Alguns casos de uso possíveis para habilitar pushes de camada não distribuíveis são para registros restritos de rede, registros air-gapped com acesso restrito ou para registros sem conectividade com a Internet.

Por exemplo, se você tiver regras NSG configuradas para que uma VM possa extrair imagens somente do seu registro de contêiner do Azure, o Docker extrairá falhas para camadas estrangeiras/não distribuíveis. Por exemplo, uma imagem do Windows Server Core conteria referências de camada estrangeira ao registro de contêiner do Azure em seu manifesto e não conseguiria extrair nesse cenário.

Para habilitar o envio por push de camadas não distribuíveis:

1. Edite o daemon.json arquivo, que está localizado em /etc/docker/ hosts Linux e no C:\ProgramData\docker\config\daemon.json Windows Server. Supondo que o arquivo estava vazio anteriormente, adicione o seguinte conteúdo:

   {
     "allow-nondistributable-artifacts": ["myregistry.azsacr.<regionname>.<fqdn>"]
   }
   

   Nota

   O valor é uma matriz de endereços do Registro, separados por vírgulas.

2. Salve e saia do arquivo.

3. Reinicie o Docker.

Quando você envia imagens para os registros na lista, suas camadas não distribuíveis são enviadas por push para o registro.

Para solucionar problemas comuns de ambiente e registro, consulte Verificar a integridade de um registro de contêiner do Azure.

• Se esse erro for um problema transitório, a nova tentativa será bem-sucedida.
• Se docker pull falhar continuamente, então pode haver um problema com o daemon do Docker. O problema geralmente pode ser atenuado reiniciando o daemon do Docker.
• Se você continuar a ver esse problema depois de reiniciar o daemon do Docker, o problema pode ser alguns problemas de conectividade de rede com a máquina. Para verificar se a rede geral na máquina está íntegra, execute o seguinte comando para testar a conectividade do ponto de extremidade. A versão mínima az acr que contém esse comando de verificação de conectividade é 2.2.9. Atualize sua CLI do Azure se estiver usando uma versão mais antiga.

az acr check-health -n myRegistry

• Você sempre deve ter um mecanismo de repetição em todas as operações do cliente Docker.

Use esta ferramenta para testar a velocidade de download da rede da sua máquina.

Use esta ferramenta para testar a velocidade de upload da rede da sua máquina.

Esse erro pode acontecer com a versão Red Hat do daemon do Docker, onde --signature-verification é ativado por padrão. Você pode verificar as opções do daemon do Docker para Red Hat Enterprise Linux (RHEL) ou Fedora executando o seguinte comando:

grep OPTIONS /etc/sysconfig/docker

Por exemplo, o Fedora 28 Server tem as seguintes opções de daemon docker:

OPTIONS='--selinux-enabled --log-driver=journald --live-restore'

Com --signature-verification=false falta, docker pull falha com um erro semelhante a:

Trying to pull repository myregistry.azsacr.<regionname>.<fqdn>/myimage ...
unauthorized: authentication required

Para resolver o erro:

1. Adicione a opção --signature-verification=false ao arquivo /etc/sysconfig/dockerde configuração do daemon do Docker. Por exemplo:

   OPTIONS='--selinux-enabled --log-driver=journald --live-restore --signature-verification=false'

2. Reinicie o serviço daemon do Docker executando o seguinte comando:

   sudo systemctl restart docker.service
   

Detalhes de --signature-verification pode ser encontrado executando man dockerd.

Certifique-se de usar uma URL de servidor com todas as letras minúsculas, por exemplo, docker push myregistry.azsacr.<regionname>.<fqdn>/myimage:latestmesmo que o nome do recurso do Registro seja maiúsculo ou misto, como myRegistry.

Comece dockerd com a debug opção. Primeiro, crie o arquivo de configuração do daemon do Docker (/etc/docker/daemon.json) se ele não existir e adicione a debug opção:

{    
    "debug": true    
}

Em seguida, reinicie o daemon. Por exemplo, com o Ubuntu 14.04:

sudo service docker restart

Os detalhes podem ser encontrados na documentação do Docker.

• Os logs podem ser gerados em locais diferentes, dependendo do seu sistema. Por exemplo, para o Ubuntu 14.04, é /var/log/upstart/docker.log.
  Consulte a documentação do Docker para obter detalhes.

• Para o Docker para Windows, os logs são gerados em %LOCALAPPDATA%/docker/. No entanto, ele pode não conter todas as informações de depuração ainda.

  Para acessar o log completo do daemon, você pode precisar de algumas etapas extras:

  docker run --privileged -it --rm -v /var/run/docker.sock:/var/run/docker.sock -v /usr/local/bin/docker:/usr/local/bin/docker alpine sh
  
  docker run --net=host --ipc=host --uts=host --pid=host -it --security-opt=seccomp=unconfined --privileged --rm -v /:/host alpine /bin/sh
  chroot /host
  

  Agora você tem acesso a todos os arquivos da VM em execução dockerd. O log está em /var/log/docker.log.

Quando você concede novas permissões (novas funções) a uma entidade de serviço, a alteração pode não entrar em vigor imediatamente. Existem duas razões possíveis:

• Atraso na atribuição de funções do Microsoft Entra. Normalmente é rápido, mas pode levar minutos devido ao atraso na propagação.

• Atraso de permissão no servidor de token do Registro de Contêiner do Azure. Isto pode demorar até 10 minutos. Para atenuar, você pode docker logout e autenticar novamente com o mesmo usuário após 1 minuto:

  docker logout myregistry.azsacr.<regionname>.<fqdn>
  docker login myregistry.azsacr.<regionname>.<fqdn>
  

Você pode encontrar um InvalidAuthenticationInfo erro, especialmente usando a curl ferramenta com a opção -L, --location (para seguir redirecionamentos). Por exemplo, buscando o blob usando curl com -L opção e autenticação básica:

curl -L -H "Authorization: basic $credential" https://$registry.azurecr.io/v2/$repository/blobs/$digest

pode resultar na seguinte resposta:

<?xml version="1.0" encoding="utf-8"?>
<Error><Code>InvalidAuthenticationInfo</Code><Message>Authentication information is not given in the correct format. Check the value of Authorization header.
RequestId:00000000-0000-0000-0000-000000000000
Time:2019-01-01T00:00:00.0000000Z</Message></Error>

A causa raiz é que algumas curl implementações seguem redirecionamentos com cabeçalhos da solicitação original.

Para resolver o problema, você precisa seguir os redirecionamentos manualmente sem os cabeçalhos. Imprima os cabeçalhos de resposta com a -D - opção de curl e, em seguida, extraia: o Location cabeçalho:

redirect_url=$(curl -s -D - -H "Authorization: basic $credential" https://$registry.azurecr.io/v2/$repository/blobs/$digest | grep "^Location: " | cut -d " " -f2 | tr -d '\r')
curl $redirect_url

Se você estiver usando o navegador Microsoft Edge/IE, poderá ver no máximo 100 repositórios ou tags. Se o seu registro tiver mais de 100 repositórios ou tags, recomendamos que você use o navegador Firefox ou Chrome para listá-los todos.

O navegador pode não ser capaz de enviar a solicitação para buscar repositórios ou tags para o servidor. Podem existir várias razões, tais como:

• Falta de conectividade de rede
• Firewall
• Usando o portal de uma rede pública para um registro que permite apenas acesso privado
• Bloqueadores de anúncios
• Erros de DNS

Entre em contato com o administrador da rede ou verifique a configuração e a conectividade da rede. Tente executar az acr check-health -n yourRegistry usando sua CLI do Azure para verificar se seu ambiente é capaz de se conectar ao Registro de Contêiner. Além disso, você também pode tentar uma sessão anônima ou privada em seu navegador para evitar qualquer cache ou cookies obsoletos do navegador.

Aqui estão alguns cenários em que as operações podem não ser permitidas:

• A imagem ou repositório pode estar bloqueado para que não possa ser excluído ou atualizado. Você pode usar o comando az acr show repository para visualizar os atributos atuais.
• Algumas operações não são permitidas se a imagem estiver em quarentena. Saiba mais sobre a quarentena.
• O seu registo pode ter atingido o seu limite de armazenamento.

Se você vir um erro como "formato de repositório não suportado", "formato inválido" ou "os dados solicitados não existem" ao especificar um nome de repositório em operações de repositório, verifique a ortografia e maiúsculas e minúsculas do nome. Os nomes de repositório válidos só podem incluir caracteres alfanuméricos minúsculos, pontos, traços, sublinhados e barras para frente.

Pré-requisitos

• Ative a desencriptação de https no fiddler: https://docs.telerik.com/fiddler/Configure-Fiddler/Tasks/DecryptHTTPS
• Habilite o Docker para usar um proxy por meio da interface do Docker: https://docs.docker.com/docker-for-windows/#proxies
• Certifique-se de reverter quando terminar. O Docker não funcionará com isso ativado e o violinista não estará em execução.

Contentores do Windows

Configurar o proxy do Docker para 127.0.0.1:8888

Contentores do Linux

Encontre o ip do comutador virtual VM do Docker:

(Get-NetIPAddress -InterfaceAlias "*Docker*" -AddressFamily IPv4).IPAddress

Configure o proxy do Docker para a saída do comando anterior e a porta 8888 (por exemplo, 10.0.75.1:8888)

Próximos passos

• Saiba mais sobre o Azure Container Registry.