已执行Docker登录，AKS中Kubernetes Pod仍无法拉取ACR镜像求助

第一步：检查镜像地址格式 #

从报错信息里的failed to resolve reference "//:"可以看出，Pod配置中的镜像地址完全错误。正确的ACR镜像地址格式应为：

<ACR名称>.azurecr.io/<镜像仓库名>:<标签>

例如你的ACR是riotintoazureregistry.azurecr.io，正确地址应该类似riotintoazureregistry.azurecr.io/webapp:v1。请检查Deployment或Pod的YAML文件中image字段，确保格式完整，没有遗漏仓库名、镜像名或标签。

另外注意报错中service=reponame.azurecr.io，但你的ACR实际地址是riotintoazureregistry.azurecr.io，这说明镜像地址里可能写错了ACR名称，导致请求到错误仓库，直接引发401权限问题。

第二步：确保AKS集群拥有ACR拉取权限 #

你在本地执行的az login、docker login、az acr login仅作用于本地环境，AKS集群的节点/服务账号需要单独配置权限，有两种常用方案：

方案1：通过Azure RBAC分配ACR拉取权限

1. 获取AKS集群的节点池托管身份ID（若使用系统托管身份）：

   az aks show --resource-group <你的AKS资源组名> --name <你的AKS集群名> --query identity.profile.kubeletidentity.clientId -o tsv
   

2. 给该身份分配AcrPull角色到目标ACR：

   az role assignment create \
     --assignee <上面获取的托管身份ID> \
     --role "AcrPull" \
     --scope /subscriptions/<你的订阅ID>/resourceGroups/<ACR资源组名>/providers/Microsoft.ContainerRegistry/registries/riotintoazureregistry
   

方案2：使用Kubernetes镜像拉取密钥（ImagePullSecret）

若不想依赖RBAC，可创建基于ACR凭据的Secret，让Pod通过该Secret拉取镜像：

1. 从ACR的「访问密钥」页面获取用户名和密码，创建Secret：

   kubectl create secret docker-registry acr-pull-secret \
     --docker-server=riotintoazureregistry.azurecr.io \
     --docker-username=<ACR用户名> \
     --docker-password=<ACR密码> \
     --docker-email=any@example.com
   

2. 在Deployment的YAML中添加imagePullSecrets字段：

   spec:
     containers:
     - name: your-container-name
       image: riotintoazureregistry.azurecr.io/your-image:your-tag
     imagePullSecrets:
     - name: acr-pull-secret
   

第三步：检查ACR的网络访问限制 #

如果你的ACR设置了防火墙（仅允许特定IP/网络访问），需要确保AKS节点的IP范围在ACR的允许列表内，或者开启「允许受信任的Azure服务访问此容器注册表」选项。

验证修复 #

重新部署Pod，执行kubectl describe pod <你的Pod名>查看事件，确认是否还有拉取错误。若镜像地址正确且权限配置到位，Pod应该能正常拉取镜像并启动。

内容的提问来源于stack exchange，提问作者user22979514