如何在Terraform中配置Docker SSO解决Azure容器实例镜像拉取限流

核心方案：用Docker Hub个人访问令牌（PAT）替代密码 #

由于你通过SSO登录Docker Hub无法直接使用账号密码，可生成**个人访问令牌（PAT）**填充image_registry_credential的password字段——PAT具备与密码等效的认证能力，且支持SSO账号生成，能让你利用公司付费订阅权限缓解限流。

步骤1：生成Docker Hub PAT #

1. 用SSO方式登录Docker Hub账号
2. 进入「Account Settings」→「Security」页面
3. 点击「New Access Token」，设置令牌名称（比如terraform-azure-aci）
4. 权限勾选**至少包含镜像拉取（read-only）**的权限（需推送镜像可按需追加）
5. 生成后立即复制令牌内容（令牌仅显示一次，务必妥善保存）

步骤2：修改Terraform配置 #

将生成的PAT填入password字段，username保留你的Docker Hub账号名：

resource "azurerm_container_group" "clamav" {
  depends_on = [ azurerm_virtual_network.vnet1 ]
  name                = "ci-${var.project}-${var.env}-${var.location}-001"
  location            = var.location
  resource_group_name = var.rg
  os_type             = "Linux"
  ip_address_type     = "Private"
  // 使用Docker Hub PAT缓解限流
  image_registry_credential {
    server = "index.docker.io"
    username = "myusername" // 你的Docker Hub账号名
    password = "生成的PAT内容" // 替换为刚生成的个人访问令牌
  }
  // 官方clamav镜像，容器内监听TCP 3310，可通过localhost或"clamav"访问
  container {
    memory = "3"
    cpu    = "1"
    name   = "clamav"
    image  = "clamav/clamav:1.4.2"
  }
  // 侧车：REST API，在:3000/api/v1/scan接收多文件请求，调用clamav扫描
  container {
    memory = "1" 
    cpu    = "1"
    name   = "clamav-restapi"
    image  = "benzino77/clamav-rest-api:1.5.5"
    ports {
      port     = 3000
      protocol = "TCP"
    }
    environment_variables = {
      "APP_PORT" : "3000"
      "APP_FORM_KEY" : "FILES"
      "APP_MAX_FILE_SIZE" : "10485760"
      "CLAMD_IP" : "localhost"
      "CLAMD_PORT" : "3310"
    }
  }
  subnet_ids = [azurerm_subnet.containers.id]
  tags       = local.tags
}

重要提醒 #

• 禁止将PAT硬编码在代码中，建议用Terraform变量配合Azure Key Vault存储，避免敏感信息泄露
• 生成PAT时遵循最小权限原则，仅授予必要的镜像拉取权限即可

内容的提问来源于stack exchange，提问作者some_random_dude