다음을 통해 공유

Azure Container Registry 역할 목록 참조

이 디렉터리에서는 ACR(Azure Container Registry)에 사용할 수 있는 모든 기본 제공 역할에 대한 포괄적인 참조를 제공합니다. 이 문서는 ID 관리, 감사, 보안 또는 사용자 지정 역할 디자인에 대한 기본 제공 역할에서 ACR 권한에 대한 자세한 지식이 필요한 전문가를 위해 작성되었습니다. 각 ACR 기본 제공 역할은 포함된 컨트롤 플레인 및 데이터 평면 권한으로 여기에 설명되어 있습니다.

다음과 같은 기본 제공 역할 유형을 사용할 수 있습니다.

지원되는 역할 할당 ID 유형, 역할 할당을 수행하는 단계 및 일반적인 시나리오에 권장되는 역할을 포함하여 이러한 기본 제공 역할에 대한 개략적인 개요는 Azure Container Registry 기본 제공 역할을 참조하세요.

비고

적용 가능한 기본 제공 역할 및 역할 동작은 레지스트리의 "역할 할당 권한 모드"에 따라 달라집니다. Azure Portal의 "속성" 블레이드에 표시됩니다.

  • RBAC 레지스트리 + ABAC 리포지토리 권한: 선택적 Microsoft Entra ABAC 조건을 사용하여 특정 리포지토리로 할당 범위를 지정하는 표준 RBAC 역할 할당을 지원합니다.
  • RBAC 레지스트리 권한: ABAC 조건 없이 표준 RBAC 할당만 지원합니다.

Microsoft Entra ABAC 및 ABAC 사용 역할에 대한 자세한 내용은 Microsoft Entra 기반 리포지토리 권한을 참조하세요.

기본 제공 역할 참조

각 기본 제공 역할에는 레지스트리에서 수행할 수 있는 작업을 제어하는 권한 집합(작업 및 데이터 작업)이 포함됩니다. 이러한 권한은 다음 두 가지 범주로 구분됩니다.

  • 컨트롤 플레인 권한: ACR 레지스트리, 레지스트리 전체 구성 및 레지스트리 전체 정책 만들기, 관리, 삭제 및 구성
  • 데이터 평면 사용 권한: 레지스트리 내에서 이미지, 아티팩트 및 태그를 푸시, 풀, 수정 또는 삭제하는 등의 레지스트리 내에서 데이터를 읽거나 수정하거나 삭제하는 작업을 수행합니다. 리포지토리별 구성 및 리포지토리별 정책을 수정하는 작업도 포함됩니다.

컨트롤 플레인 역할

다음 기본 제공 역할은 컨트롤 플레인 역할입니다. 레지스트리를 관리해야 하지만 데이터 평면 권한이 필요하지 않은 ID에 이러한 역할을 할당합니다.

해당 역할 및 역할 동작은 레지스트리의 "역할 할당 권한 모드"에 따라 달라집니다. Azure Portal의 "속성" 블레이드에 표시됩니다. Entra ABAC에 대한 자세한 내용은 Entra 기반 리포지토리 권한을 참조하세요.

Container Registry 기여자 및 데이터 액세스 구성 관리자
Container Registry 구성 판독기 및 데이터 액세스 구성 읽기 권한자
Container Registry 작업 기여자
  • 사용 사례: 다른 레지스트리 작업 또는 이미지 데이터에 액세스하지 않고 ACR 작업 및 작업 관련 리소스를 관리해야 하는 CI/CD 파이프라인 또는 자동화 도구와 같은 ID에 할당합니다.
  • 사용 권한: 작업 정의, 실행, 작업 에이전트 풀, 빠른 작업( 및 az acr build포함), 작업 로그 및 az acr run를 포함하여 ACR 작업을 관리하기 위한 제어 평면 액세스 권한을 부여합니다. 작업 외부의 레지스트리 구성에 대한 액세스 또는 데이터 평면 사용 권한은 포함하지 않습니다.
컨테이너 레지스트리 전송 파이프라인 기여자
Container Registry 데이터 가져오기 및 데이터 판독기
  • 사용 사례: 다른 레지스트리az acr import에서 이미지를 가져와야 하는 CI/CD 파이프라인과 같은 ID에 할당합니다. 또한 이 역할을 사용하면 레지스트리에서 이미지 및 아티팩트를 읽어 가져오기 작업의 성공 유효성을 검사할 수 있습니다.
  • 사용 권한: 컨트롤 플레인 액세스 권한을 부여하여 이미지 및 아티팩트 끌어오기, 리포지토리 콘텐츠 보기, OCI(Open Container Initiative) 참조자, 태그 및 아티팩트 스트리밍 구성에 대한 데이터 평면 액세스를 사용하여 az acr import이미지 가져오기를 트리거할 수 있습니다. 레지스트리의 콘텐츠를 푸시하거나 수정하는 것을 허용하지 않습니다.
    • 컨트롤 플레인 권한:
    • 데이터 평면 사용 권한:
      • 레지스트리의 리포지토리 내에서 이미지 및 아티팩트 끌어오기
      • OCI 참조자 아티팩트 보기 및 나열
      • 태그와 같은 이미지 및 아티팩트 메타데이터 보기 및 나열
      • 레지스트리에서 리포지토리(이미지 이름) 보기 및 나열
      • 리포지토리 및 이미지에 대한 아티팩트 스트리밍 구성 보기(예: 자동 아티팩트 스트리밍 변환을 위한 리포지토리 정책 보기 및 이미지에 대한 아티팩트 스트리밍 구성 보기)

데이터 평면 역할

다음 내장 역할은 데이터 평면 역할입니다. 레지스트리 내에 저장된 이미지 및 아티팩트와 상호 작용하기 위해 데이터 평면 작업을 수행해야 하지만 레지스트리를 관리하기 위한 컨트롤 플레인 권한이 필요하지 않은 ID에 이러한 역할을 할당합니다.

해당 역할 및 역할 동작은 레지스트리의 "역할 할당 권한 모드"에 따라 달라집니다. Azure Portal의 "속성" 블레이드에 표시됩니다. Microsoft Entra ABAC에 대한 자세한 내용은 Microsoft Entra 기반 리포지토리 권한을 참조하세요.

Container Registry 리포지토리 읽기 권한자
  • 사용 사례: 콘텐츠를 푸시하거나 수정할 수 있는 권한 없이 이미지를 끌어오고 리포지토리 메타데이터만 읽어야 하는 컨테이너 호스트 노드, 오케스트레이터, 취약성 스캐너 또는 개발자에게 할당합니다.
  • 사용 권한: 이미지 및 아티팩트 끌어오기, 뷰 태그, 리포지토리, OCI(Open Container Initiative) 참조자 및 아티팩트 스트리밍 구성에 대한 데이터 평면 읽기 전용 액세스 권한을 부여합니다. 컨트롤 플레인 또는 쓰기 권한을 포함하지 않습니다.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
      • 레지스트리의 리포지토리 내에서 이미지 및 아티팩트 끌어오기
      • OCI 참조자 아티팩트 보기 및 나열
      • 태그와 같은 이미지 및 아티팩트 메타데이터 보기 및 나열
      • 레지스트리에서 리포지토리(이미지 이름) 보기 및 나열
      • 리포지토리 및 이미지에 대한 아티팩트 스트리밍 구성 보기(예: 자동 아티팩트 스트리밍 변환을 위한 리포지토리 정책 보기 및 이미지에 대한 아티팩트 스트리밍 구성 보기)
      • 리포지토리 카탈로그 목록 권한을 부여하지 않습니다.
    • ABAC 지원: 특정 리포지토리로 역할 할당 범위를 지정하는 선택적 Microsoft Entra ABAC 조건을 지원합니다.
Container Registry 리포지토리 기록기
  • 사용 사례: 레지스트리 구성 또는 설정을 제어할 필요 없이 컨테이너 이미지를 푸시 및 끌어오고, 태그를 관리하고, 아티팩트로 작업해야 하는 CI/CD 파이프라인, 자동화 도구 또는 개발자에게 할당합니다. 또한 신뢰할 수 있는 공급망의 일부로 이미지를 서명하는 자동화된 프로세스 또는 서비스에 할당합니다.
  • 사용 권한: 데이터 평면에 이미지 및 아티팩트 푸시 및 끌어오기, 태그 읽기/관리, OCI 참조자 읽기/관리, 리포지토리 및 이미지에 대한 아티팩트 스트리밍을 사용하도록 설정(사용 안 함)할 수 있는 액세스 권한을 부여합니다. 컨트롤 플레인 권한은 포함되어 있지 않습니다.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
      • 레지스트리의 리포지토리 내에서 이미지 및 아티팩트 푸시 및 끌어오기
      • OCI 참조자 아티팩트 만들기, 보기 및 나열
      • 이미지 및 아티팩트 메타데이터 관리(태그 만들기, 읽기, 나열하기, 재태그하기 및 태그 제거하기)
      • 레지스트리에서 리포지토리(이미지 이름) 보기 및 나열
      • 리포지토리 및 이미지에 대한 아티팩트 스트리밍 구성(예: 자동 아티팩트 스트리밍 변환을 위한 리포지토리 정책 설정 및 특정 이미지에 대한 아티팩트 스트리밍 변환 사용(사용 안 함)
      • 리포지토리 카탈로그 목록 권한을 부여하지 않습니다.
    • ABAC 지원: 특정 리포지토리로 역할 할당 범위를 지정하는 선택적 Microsoft Entra ABAC 조건을 지원합니다.
Container Registry 리포지토리 기여자
  • 사용 사례: 이미지 수명 주기 및 정리를 관리하는 ID 또는 서비스에 할당합니다.
  • 사용 권한: 이미지 및 아티팩트 읽기, 쓰기, 업데이트 및 삭제 , 태그 읽기/관리/삭제, OCI 참조 읽기/관리/삭제, 리포지토리 및 이미지에 대한 아티팩트 스트리밍 사용/사용 안 함 권한을 부여합니다. 컨트롤 플레인 권한은 포함되어 있지 않습니다.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
      • 레지스트리의 리포지토리 내에서 이미지 및 아티팩트 푸시, 끌어오기 및 삭제
      • OCI 참조자 아티팩트 만들기, 보기, 나열 및 삭제
      • 태그(만들기, 읽기, 나열하기, 재태그, 태그 제거 및 삭제)와 같은 이미지 및 아티팩트 메타데이터 관리 및 삭제
      • 레지스트리에서 리포지토리(이미지 이름) 보기 및 나열
      • 리포지토리 및 이미지에 대한 아티팩트 스트리밍 구성(예: 자동 아티팩트 스트리밍 변환을 위한 리포지토리 정책 설정 및 특정 이미지에 대한 아티팩트 스트리밍 변환 사용/사용 안 함 )
      • 리포지토리 카탈로그 목록 권한을 부여하지 않습니다.
    • ABAC 지원: 특정 리포지토리로 역할 할당 범위를 지정하는 선택적 Microsoft Entra ABAC 조건을 지원합니다.
Container Registry 리포지토리 카탈로그 목록
  • 사용 사례: CI/CD 파이프라인, 개발자, 취약성 스캐너 또는 레지스트리 모니터링 및 감사 도구와 같은 레지스트리의 모든 리포지토리를 나열 해야 하는 ID 또는 서비스에 할당합니다.
  • 사용 권한: 레지스트리의 모든 리포지토리를 나열 할 수 있는 데이터 평면 액세스 권한을 부여합니다. 컨트롤 플레인 관련 권한 또는 이미지 푸시/풀 하기 위한 권한이 포함되어 있지 않습니다.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
      • 레지스트리의 모든 리포지토리(이미지 이름) 나열
      • 레지스트리 내 모든 리포지토리를 나열하기 위해 {loginServerURL}/acr/v1/_catalog 또는 {loginServerURL}/v2/_catalog 레지스트리 API 엔드포인트를 호출할 수 있는 권한을 부여합니다.
      • 리포지토리 내에서 이미지, 아티팩트, 태그 또는 OCI 참조자를 보거나 나열할 수 있는 권한을 부여하지 않습니다.
    • ABAC 지원: 이 역할은 Entra ABAC 조건을 지원하지 않습니다. 따라서 이 역할 할당은 레지스트리의 모든 리포지토리를 나열할 수 있는 권한을 부여 합니다.
AcrQuarantineWriter
  • 사용 사례: CI/CD 파이프라인 및 취약성 스캐너와 같이 격리된 이미지를 관리하는 자동화된 프로세스 또는 서비스에 할당합니다.
  • 사용 권한: 레지스트리에서 격리된 이미지를 관리합니다.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
    • ABAC 지원: Microsoft Entra ABAC 조건을 지원하지 않습니다.
AcrQuarantineReader
  • 사용 사례: CI/CD 파이프라인 및 취약성 스캐너와 같은 격리된 이미지를 나열, 읽기 및 끌어오는 자동화된 프로세스 또는 서비스에 할당합니다.
  • 사용 권한: 레지스트리에서 격리된 이미지를 나열, 읽기 및 끌어오기.
    • 컨트롤 플레인 권한:
      • 없음
    • 데이터 평면 사용 권한:
    • ABAC 지원: Microsoft Entra ABAC 조건을 지원하지 않습니다.

권한 있는 역할

다음 기본 제공 역할은 권한 있는 역할입니다. 이러한 역할은 Azure Container Registry뿐만 아니라 다른 리소스 종류에 대한 광범위한 리소스 및 권한에 대한 액세스를 제공하므로 신뢰할 수 있는 ID에만 할당합니다.

Azure에서는 이러한 권한 있는 역할 대신 가능하면 권한이 적은 컨트롤 플레인 역할 또는 데이터 평면 역할을 사용하는 것이 좋습니다.

해당 역할 및 역할 동작은 레지스트리의 "역할 할당 권한 모드"에 따라 달라집니다. Azure Portal의 "속성" 블레이드에 표시됩니다. Microsoft Entra ABAC에 대한 자세한 내용은 Microsoft Entra 기반 리포지토리 권한을 참조하세요.

소유자
기여자
  • 사용 사례: 레지스트리를 관리해야 하지만 역할 할당 권한이 필요하지 않은 ID에 할당합니다.
  • 사용 권한: 역할 할당 권한을 제외한 모든 레지스트리 제어 평면 작업에 대한 모든 액세스 권한입니다.
    • 컨트롤 플레인 권한:
      • 레지스트리에 대한 역할 할당을 관리하거나 수행하는 경우를 제외하고 소유자 와 동일합니다. 레지스트리에 대한 역할 할당을 보고 나열하는 권한만 부여됩니다.
      • 참고: 레지스트리 Role Based Access Control Administrator 에 대한 역할 할당을 관리하거나 수행하려면 역할이 필요합니다. 역할 할당을 관리할 때 Owner 대신 사용할 덜 권한 있는 역할이 권장됩니다.
    • 데이터 평면 사용 권한:
      • 없음 - ABAC 사용 레지스트리에는 기본 제공 기여자 역할에 대한 데이터 평면 권한이 없습니다.
판독기

다음 단계