Azure DevOps Docker Registry服务连接身份机制咨询

自定义用户托管标识选项不可选的原因 #

• Docker Registry类型的服务连接是专门关联Azure Container Registry（ACR）的，当前平台设计仅支持系统分配的托管标识，不支持用户自定义的托管标识，所以你在配置界面里看不到这个选项。
• 如果一定要用用户托管标识访问ACR，建议换用Azure Resource Manager（AzureRM）服务连接，之后在管道里通过该连接获取身份凭证再操作ACR，或者给运行管道的Agent关联用户托管标识。

后台是否会创建托管标识？ #

• 当你选择“托管标识”作为Docker Registry服务连接的验证方式时，Azure DevOps会在后台自动创建一个系统分配的托管标识，这个标识属于Azure DevOps的托管资源，不是用户托管标识。
• 这个系统托管标识是持久化的，只要服务连接存在它就会保留，并且会被授予你配置时指定的ACR权限（比如AcrPull、AcrPush）。

托管标识的使用时机 #

• 这个系统托管标识不是仅在管道运行时临时存在：它是服务连接的固定身份凭证，管道每次执行时，Azure DevOps会自动获取该标识的临时访问令牌，用来和ACR完成镜像拉取/推送等操作。

内容的提问来源于stack exchange，提问作者Zveratko