使用az containerapp up命令无法更新ContainerApp镜像求助

核心原因 #

az containerapp up 命令默认会尝试通过管理员凭据或当前Azure CLI会话身份获取ACR访问权限，但你的场景下ACR禁用了管理员凭据，且ContainerApp依赖系统托管标识拉取镜像，命令未自动识别这一配置，因此触发凭据缺失报错。

解决方案 #

方法1：用专用更新命令复用托管身份 #

放弃az containerapp up，改用az containerapp update直接指定镜像，该命令会自动复用ContainerApp已配置的系统托管身份，无需额外提供ACR凭据：

az containerapp update -n mycontainerapp -g my-rg --image myregistry.azurecr.io/mybranch-dev:latest

方法2：让az containerapp up通过CLI身份验证ACR #

如果坚持要用az containerapp up，需先给当前CLI登录用户分配ACR的AcrPull角色（命令执行时会先验证镜像存在性），操作步骤：

1. 给当前用户分配ACR权限：

az role assignment create --assignee $(az account show --query user.name -o tsv) --scope $(az acr show -n myregistry -g my-rg --query id -o tsv) --role AcrPull

2. 重新执行原更新命令，此时CLI会用当前用户身份验证ACR，ContainerApp运行时仍依赖系统托管身份拉取镜像：

az containerapp up -n mycontainerapp -g my-rg -i myregistry.azurecr.io/mybranch-dev:latest --ingress external --target-port 5173

验证配置 #

更新完成后，可通过以下命令确认配置状态：

# 查看当前使用的镜像
az containerapp show -n mycontainerapp -g my-rg --query properties.template.containers[0].image -o tsv

# 确认系统托管身份已启用
az containerapp identity show -n mycontainerapp -g my-rg

内容的提问来源于stack exchange，提问作者Coder