Azure コンテナー レジストリでの認証

開発ワークステーションから作成したレジストリへのイメージのプッシュやプルなど、レジストリを直接操作するときは、個人の Azure ID を使用して認証します。 az login を使用して Azure CLI にサインインし、az acr login コマンドを実行します。

az login
az acr login --name <acrName>

az acr login を使用してログインすると、CLI は az login の実行時に作成されたトークンを使用して、レジストリとのセッションをシームレスに認証します。 認証フローを完了するには、お使いの環境に Docker CLI と Docker デーモンをインストールして実行する必要があります。 az acr login では、Docker クライアントを使用して、docker.config ファイルに Microsoft Entra トークンを設定します。 この方法でログインすると、資格情報がキャッシュされ、セッション内の後続の docker コマンドにユーザー名やパスワードは必要ありません。

レジストリのアクセスでは、az acr login で使用されるトークンは 3 時間有効なため、docker コマンドを実行する前に常にレジストリにログインすることをお勧めします。 トークンの有効期限が切れた場合は、az acr login コマンドを再度使用して再認証することで、トークンを更新できます。

Azure ID で az acr login を使用すると、 Azure ロールベースのアクセス制御 (RBAC) が提供されます。 シナリオによっては、Microsoft Entra ID で独自の ID を使用してレジストリにログインしたり、特定のロールを持つ他の Azure ユーザーを構成したりできます。 Azure Container Registry Entra のアクセス許可とロールの概要を参照してください。 サービス間のシナリオの場合や、個々のアクセスの管理は行わないワークグループまたは開発ワークフローのニーズを処理する場合は、Azure リソース用のマネージド ID でログインすることもできます。

az acr のログインに --expose-token を使用する

場合によっては、お使いの環境で Docker デーモンが実行されていない場合に、az acr login での認証が必要になります。 たとえば、Azure Cloud Shell のスクリプトで az acr login を実行することが必要になる場合があります。この場合 Docker CLI は提供されますが、Docker デーモンは実行されません。

このシナリオでは、最初に az acr login パラメーターを指定して --expose-token を実行します。 このオプションは、Docker CLI を使用してログインするのではなく、アクセス トークンを公開します。

az acr login --name <acrName> --expose-token

出力には、次のようにアクセス トークン (ここでは省略されています) が表示されます。

{
  "accessToken": "eyJhbGciOiJSUzI1NiIs[...]24V7wA",
  "loginServer": "myregistry.azurecr.io"
}

レジストリ認証の場合は、トークン資格情報を安全な場所に保存し、docker ログインを管理するための推奨プラクティスに従うことをお勧めします。 たとえば、次のようにトークン値を環境変数に格納します。

TOKEN=$(az acr login --name <acrName> --expose-token --output tsv --query accessToken)

次に、docker login を実行し、ユーザー名として 00000000-0000-0000-0000-000000000000 を渡し、アクセス トークンをパスワードとして使用します。

docker login myregistry.azurecr.io --username 00000000-0000-0000-0000-000000000000 --password-stdin <<< $TOKEN

同様に、az acr login および helm registry login コマンドによって返されたトークンを使用して、レジストリで認証できます。

echo $TOKEN | helm registry login myregistry.azurecr.io \
            --username 00000000-0000-0000-0000-000000000000 \
            --password-stdin

開発ワークステーションから作成したレジストリへのイメージのプッシュやプルなど、レジストリを直接操作するときは、個人の Azure ID を使用して認証します。 Connect-AzAccount を使用して Azure PowerShell にサインインし、Connect-AzContainerRegistry コマンドレットを実行します。

Connect-AzAccount
Connect-AzContainerRegistry -Name <acrName>

Connect-AzContainerRegistry を使用してログインすると、PowerShell は、Connect-AzAccount の実行時に作成されたトークンを使用して、レジストリーとのセッションをシームレスに認証します。 認証フローを完了するには、お使いの環境に Docker CLI と Docker デーモンをインストールして実行する必要があります。 Connect-AzContainerRegistry では、Docker クライアントを使用して、docker.config ファイルに Microsoft Entra トークンを設定します。 この方法でログインすると、資格情報がキャッシュされ、セッション内の後続の docker コマンドにユーザー名やパスワードは必要ありません。

レジストリのアクセスでは、Connect-AzContainerRegistry で使用されるトークンは 3 時間有効なため、docker コマンドを実行する前に常にレジストリにログインすることをお勧めします。 トークンの有効期限が切れた場合は、Connect-AzContainerRegistry コマンドを再度使用して再認証することで、トークンを更新できます。

Azure ID で Connect-AzContainerRegistry を使用すると、 Azure ロールベースのアクセス制御 (RBAC) が提供されます。 シナリオによっては、Microsoft Entra ID で独自の ID を使用してレジストリにログインしたり、特定のロールを持つ他の Azure ユーザーを構成したりできます。 Azure Container Registry Entra のアクセス許可とロールの概要を参照してください。 サービス間のシナリオの場合や、個々のアクセスの管理は行わないワークグループまたは開発ワークフローのニーズを処理する場合は、Azure リソース用のマネージド ID でログインすることもできます。

既存のレジストリの管理者ユーザーを有効にするには、Azure CLI で --admin-enabled コマンドの パラメーターを使用します。

az acr update -n <acrName> --admin-enabled true

既存のレジストリの管理者ユーザーを有効にするには、Azure PowerShell で EnableAdminUser コマンドの パラメーターを使用します。

Update-AzContainerRegistry -Name <acrName> -ResourceGroupName myResourceGroup -EnableAdminUser