Azure容器应用ImagePullFailure：IAM配置无效，需启用管理员用户？

以下是针对Azure容器应用无法通过托管标识拉取ACR镜像的逐步排查步骤：

1. 确认托管标识的关联与配置 #

• 检查容器应用的「标识」配置：
  • 系统分配标识是否已启用，或用户分配标识是否已添加并启用；
  • 在容器应用的「容器」配置中，确认镜像拉取的身份验证方式选择了对应的托管标识（而非用户名密码）。

2. 验证IAM权限的正确性 #

• 角色类型与范围：确认给托管标识分配的是AcrPull角色，且角色分配的范围是目标容器注册表本身（而非资源组或订阅层级，避免继承问题）；
• 主体匹配：检查角色分配的主体是否是目标托管标识（系统标识对应容器应用名称，用户分配标识对应标识的名称/资源ID）；
• 权限生效延迟：IAM角色分配可能需要5-15分钟生效，刚配置完请等待一段时间再测试。

3. 核对镜像配置细节 #

• 确保镜像引用是ACR的完整域名格式，例如：myacr.azurecr.io/my-image:v1，不能使用短名称；
• 若使用用户分配标识，需在容器应用的镜像拉取配置中明确指定使用该用户分配标识（系统标识为默认选项，但需确认未被手动修改）。

4. 排查网络访问限制 #

• 检查容器注册表的「网络规则」：
  • 若ACR设置了虚拟网络限制，确认容器应用所在的网络已被添加到ACR的允许列表；
  • 临时将ACR设置为「允许所有网络」进行测试，排除防火墙导致的访问问题；
• 确认容器应用的出站网络规则未限制访问ACR的域名（.azurecr.io）。

5. 查看详细错误日志与手动验证 #

• 在容器应用的「日志」中，查看ImagePullFailure的具体错误信息：
  • 若提示unauthorized: authentication required，重点排查IAM权限与标识配置；
  • 若提示no such image，核对镜像名称、标签是否正确，以及标识是否有读取该镜像仓库的权限；
• 使用Azure CLI手动验证托管标识的ACR访问权限：

  # 针对系统分配标识
  az login --identity --username /subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.App/containerApps/<容器应用名称>
  az acr repository list --name <ACR名称>
  

  若命令失败，说明标识本身无ACR访问权限，回到IAM配置排查；若命令成功，说明容器应用的配置存在问题。

6. 其他排查点 #

• 若容器应用是在创建后才配置的托管标识，尝试重启容器应用，确保新的标识配置被加载；
• 检查容器注册表的「身份验证」设置，确认未强制要求管理员用户（默认不强制）；
• 排查托管标识是否被分配了拒绝访问的IAM角色（可能性低，但需排除冲突）。

内容的提问来源于stack exchange，提问作者Murphybro2