Azure Container App无法从新ACR拉取镜像问题求助

核心问题 #

ACR中已成功构建镜像，但执行az containerapp update后，Container App仍未使用新ACR的镜像，可从以下几个维度逐一排查：

1. 镜像地址一致性验证 #

构建阶段与部署阶段的镜像地址必须完全匹配，否则Container App无法找到目标镜像：

• 构建阶段生成的镜像地址：$(GLOBAL_STAGE_LOWER)$(GLOBAL_DEPLOYMENT_LOWER)acr/${VAR_STAGE_LOWER}/${{ parameters.dso_key }}/${{ parameters.acr_subdir }}:cb$(Build.BuildId)
• 部署阶段拼接的镜像地址：$(GLOBAL_STAGE_LOWER)$(GLOBAL_DEPLOYMENT_LOWER)acr.azurecr.io/${VAR_STAGE_LOWER}/${{ parameters.dso_key }}/${{ parameters.acr_subdir }}:cb$(Build.BuildId)

验证操作：

• 在Azure门户的ACR中找到目标镜像，复制其完整地址
• 在部署任务的inlineScript中添加echo "Using image: ${IMAGE}"，输出实际使用的镜像地址，与ACR中的地址对比

2. Container App环境的ACR权限配置 #

若Container Apps Environment未配置新ACR的拉取权限，会导致镜像拉取失败（可能无明显报错）：

• 检查权限：
  执行CLI命令查看环境关联的注册表：

  az containerapp env show -n <container-app-env-name> -g <resource-group-name>
  

  查看输出中properties.configuration.registryCredentials是否包含目标ACR
• 添加权限：
  若未配置，执行以下命令添加拉取权限：

  az containerapp env set-registry -n <env-name> -g <rg-name> --server <acr-name>.azurecr.io --username <acr-admin-username> --password <acr-admin-password>
  

3. 部署脚本的错误排查优化 #

当前部署脚本使用--only-show-errors参数隐藏了详细日志，难以定位问题：

• 临时修改脚本：
  在update_container_app.sh中移除--only-show-errors，或添加--debug参数，获取完整执行日志
• 检查jq解析有效性：
  若az containerapp update返回的JSON结构中无.properties.latestRevisionName字段，会导致输出空值。可单独执行az containerapp update命令，确认返回的JSON结构是否符合预期

4. 修订版本激活状态检查 #

即使更新命令执行成功，新生成的修订版本可能未被设置为活跃版本：

• 查看修订版本状态：

  az containerapp revision list -n <container-app-name> -g <rg-name>
  

  确认最新修订版本的provisioningState为Succeeded且active为true
• 手动激活修订版本：
  若未激活，执行以下命令：

  az containerapp revision activate -n <app-name> -g <rg-name> --revision <revision-name>
  

5. 流水线变量一致性验证 #

确保构建与部署阶段的关键变量值完全一致：

• 检查GLOBAL_STAGE_LOWER、GLOBAL_DEPLOYMENT_LOWER、VAR_STAGE_LOWER等变量在两个阶段的取值
• 确认Build.BuildId在构建和部署阶段为同一值（保证是同一次流水线运行）

内容的提问来源于stack exchange，提问作者Sumit Bhardwaj