Azure DevOps自托管Agent容器作业无法自动登录私有镜像仓库怎么办？

问题描述 #

我在Azure Pipelines中运行依赖私有镜像仓库（非Docker Hub）的容器作业，该仓库需身份认证。使用Azure托管Agent时，「Initialize containers」步骤会自动通过配置的服务连接执行docker login，但切换到自托管Agent后，该步骤直接跳过登录执行docker pull，导致拉取镜像失败，提示未授权错误。

流水线代码 #

jobs:
- job: Deployment
  timeoutInMinutes: 120
  cancelTimeoutInMinutes: 5 
  pool:
     name: Azure Pipelines

   container:
     image: ***:latest
     endpoint: <SERVICE CONNECTION NAME>

关键日志对比 #

• Azure托管Agent（正常流程）：

  /usr/bin/docker login --username "***" --password-stdin https://***
  Login Succeeded
  /usr/bin/docker pull ***:latest
  

• 自托管Agent（错误流程）：

  /usr/bin/docker pull ***/installer-pre-reqs:latest
  Error response from daemon: Head "https://***/v2/installer-pre-reqs/manifests/latest": unauthorized: authentication required
  

解决方法 #

1. 验证服务连接与网络权限 #

确保配置的服务连接<SERVICE CONNECTION NAME>拥有私有镜像仓库的拉取权限，同时自托管Agent所在机器能正常访问该仓库的网络地址，无防火墙或代理拦截。

2. 显式添加Docker登录步骤 #

在容器作业的前置步骤中手动添加Docker登录任务，确保拉取镜像前完成认证：

jobs:
- job: Deployment
  timeoutInMinutes: 120
  cancelTimeoutInMinutes: 5 
  pool:
     name: <你的自托管Agent池名称>
  steps:
  # 显式执行Docker登录，使用配置的服务连接
  - task: Docker@2
    inputs:
      containerRegistry: '<SERVICE CONNECTION NAME>'
      command: 'login'
  # 容器配置放在登录步骤之后
  container:
    image: ***:latest
    endpoint: <SERVICE CONNECTION NAME>

3. 检查自托管Agent的Docker环境 #

• 确认Docker客户端与服务端版本兼容（托管Agent使用1.41，自托管为1.43，若存在兼容性问题可尝试对齐版本）；
• 检查运行自托管Agent的用户是否拥有Docker操作权限，避免因权限不足导致登录步骤被静默跳过。

4. 直接执行登录命令（备选方案） #

若上述方法无效，可通过脚本直接执行docker login，从服务连接中提取凭据：

jobs:
- job: Deployment
  timeoutInMinutes: 120
  cancelTimeoutInMinutes: 5 
  pool:
     name: <你的自托管Agent池名称>
  steps:
  - script: |
      docker login <私有仓库域名> -u $(registry-username) -p $(registry-password)
    env:
      registry-username: $(<SERVICE CONNECTION NAME>.username)
      registry-password: $(<SERVICE CONNECTION NAME>.password)
  container:
    image: ***:latest
    endpoint: <SERVICE CONNECTION NAME>

注意：需在流水线设置中允许引用服务连接的敏感变量。

内容的提问来源于stack exchange，提问作者Colin Pickard