AKS Kubernetes Job无法识别镜像标签‘latest’问题求助

以下是针对该问题的具体排查步骤：

1. 确认ACR中latest标签是否存在 #

首先验证Azure容器注册表（ACR）中是否存在weatherdispatch镜像的latest标签，执行Azure CLI命令：

az acr repository show-tags --name navweathercontainer --repository weatherdispatch

如果输出列表中没有latest，说明镜像构建或推送时未正确打latest标签，需重新构建并推送带latest标签的镜像。

2. 本地验证latest镜像的可拉取性 #

在本地环境登录ACR并尝试拉取latest镜像，排除ACR本身的问题：

docker login navweathercontainer.azurecr.io
docker pull navweathercontainer.azurecr.io/weatherdispatch:latest

• 若本地拉取失败：说明latest镜像在ACR中存在权限问题、manifest损坏或推送未完成，需修复ACR中的镜像。
• 若本地拉取成功：问题出在Kubernetes/Virtual Kubelet（ACI）的配置或拉取逻辑上。

3. 检查imagePullSecret的有效性 #

虽然使用具体标签时能正常拉取，仍需确认acrsecret的配置是否完全正确：

• 查看Secret的类型和内容：

  kubectl describe secret acrsecret -n default
  

  确保Secret类型为kubernetes.io/dockerconfigjson，且dockerconfigjson字段包含正确的ACR登录凭证。
• 确认Job使用的ServiceAccount（默认是default）是否关联了该Secret：
  查看default ServiceAccount配置：

  kubectl describe serviceaccount default -n default
  

  确保imagePullSecrets列表中包含acrsecret。

4. 排查Virtual Kubelet/ACI的镜像拉取逻辑 #

由于Job调度到了Virtual Kubelet（ACI）节点，ACI的镜像拉取逻辑可能与普通K8s节点不同：

• 确认ACI是否会忽略latest标签尝试拉取无标签镜像：检查ACR中是否存在无标签的weatherdispatch镜像，执行命令：

  az acr repository show-manifests --name navweathercontainer --repository weatherdispatch
  

  如果无标签manifest不存在，而ACI默认拉取无标签镜像，就会失败。此时需确保镜像地址明确指定:latest标签。
• 清理ACI缓存：删除之前创建的Job和对应的ACI容器组，重新部署Job，避免旧缓存影响拉取。

5. 检查ACR的网络访问限制 #

如果ACR设置了网络防火墙（仅允许特定IP/VNet访问），确认ACI所在的网络是否在ACR的允许列表中。虽然具体标签能拉取，但不排除latest标签的拉取请求触发了不同的网络校验逻辑。

内容的提问来源于stack exchange，提问作者Kishan Kumar