Azure Container App使用ACR私有镜像时出现ImagePullBackOff问题

• 镜像拉取认证冲突
  你同时使用了ACR管理员账号（--registry-username/--registry-password）和用户分配托管标识（--user-assigned），这两种认证方式不可同时生效，需二选一：

  • 若使用托管标识：移除命令中的--registry-username和--registry-password参数，确认托管标识已被授予ACR的ACRPull角色，且Container Apps环境已配置允许托管标识访问ACR。
  • 若使用管理员账号：移除--user-assigned参数，验证ACR管理员账户已开启，且用户名密码无误。

• 端口与应用监听配置验证

  • 确保Flask应用监听的是0.0.0.0:5000（仅监听127.0.0.1会导致外部无法访问），检查Dockerfile的启动命令，示例：

    # 生产环境推荐用gunicorn
    CMD ["gunicorn", "--bind", "0.0.0.0:5000", "app:app"]
    # 测试环境可用Flask自带服务器
    CMD ["flask", "run", "--host=0.0.0.0", "--port=5000"]
    

  • 确认--target-port 5000与容器内应用监听端口一致，在Azure门户的Container Apps「Ingress」标签页，验证路由规则的目标端口是否正确。

• 查看容器日志定位具体错误
  用CLI实时查看容器运行日志，直接获取失败原因：

  az containerapp logs show --name $CONTAINER_APP_NAME --resource-group $RESOURCE_GROUP --follow
  

  • 若日志出现unauthorized: authentication required：聚焦认证方式的配置问题；
  • 若出现connection refused：排查容器内应用的端口监听配置；
  • 若出现镜像拉取超时：检查网络连通性（如ACR私有端点、VNet配置）。

• 本地验证镜像可用性
  先在本地拉取并运行镜像，确认应用本身无问题：

  docker pull $REGISTRY_SERVER/$IMAGE
  docker run -p 5000:5000 $REGISTRY_SERVER/$IMAGE
  

  访问localhost:5000，若应用正常响应，则排除镜像本身的问题，聚焦Azure端配置。

• 网络连通性排查
  若ACR配置了私有端点，需确保Container Apps环境所在VNet与ACR私有端点的VNet连通；若ACR设置了防火墙规则，需添加Container Apps环境的出站IP地址到ACR的允许列表。

内容的提问来源于stack exchange，提问作者Ak99mProgrammer