Azure Function App基于Docker镜像部署拉取权限问题求助

数据老陈

2026-6-28

问题排查与解答

关于`application_stack`内`docker`段的必要性

对于使用自定义Docker镜像的Linux Function App，application_stack下的docker段是必须配置的，它负责告知Azure Function App要拉取的镜像地址、操作系统类型等核心信息。缺少这段配置，Function App无法识别镜像来源，会直接导致拉取失败。

镜像拉取权限拒绝的可能原因

根据你描述的场景（同资源组App Service可正常运行，仅Function App报错），重点排查以下几点：

镜像地址不完整
错误信息中的镜像名wmts/wmtsweathergenerator-downloader缺少ACR的完整域名前缀。Terraform配置中必须指定ACR的全量镜像地址，格式应为：
```
application_stack {
  docker {
    image         = "${azurerm_container_registry.your_acr.name}.azurecr.io/wmts/wmtsweathergenerator-downloader:your_tag"
    registry_url  = "${azurerm_container_registry.your_acr.name}.azurecr.io"
    os_type       = "Linux"
  }
}
```
若仅写仓库名，Function App无法定位到你的私有ACR，会默认尝试从Docker Hub拉取，自然触发权限拒绝。
Function App未关联托管身份的ACR访问配置
虽然你已给用户分配身份添加了AcrPull角色，但Function App需要明确配置使用该身份访问ACR。在Terraform的site_config块中需添加：
```
site_config {
  acr_managed_identity_id = azurerm_user_assigned_identity.your_uai.id
}
```
这一步是Function App使用托管身份拉取ACR镜像的关键，同资源组的App Service可能已配置此项，而Function App遗漏。
角色分配的生效延迟
Azure RBAC角色分配可能存在1-5分钟的生效延迟。若你刚配置完角色就部署，可能因权限未同步导致拉取失败，可等待几分钟后重试。
Azure DevOps部署任务的覆盖干扰
检查DevOps部署任务是否修改了Function App的镜像配置或身份设置，比如任务中硬编码了错误的镜像地址，或禁用了托管身份的使用逻辑。确保部署任务完全沿用Terraform的配置，不额外覆盖关键参数。