如何基于Azure CLI构建Docker镜像，实现本地容器Azure认证？

你的问题核心在于多阶段构建的镜像隔离性：你在第一个阶段用Azure CLI镜像执行的az login，状态完全无法传递到后面的.NET Core aspnet镜像中——每个FROM指令都会启动一个全新的镜像层，彼此完全独立，所以之前的登录状态自然无法持久化到最终运行应用的容器里。

下面给你几种安全且可行的解决方案，分本地开发和流水线部署两种场景：

一、本地开发推荐方案（安全无敏感信息硬编码） #

1. 挂载本地Azure CLI配置到容器 #

如果你已经在本地机器上通过az login完成了Azure认证，可以直接把本地的Azure CLI配置目录挂载到容器中，让容器复用你的本地登录状态：

docker run -v ~/.azure:/root/.azure -p 8080:80 your-image-name

这样容器内的AzureServiceTokenProvider会自动识别挂载进来的CLI认证信息，无需额外登录，就能正常获取Key Vault令牌。

2. 通过环境变量传递服务主体信息 #

如果需要用服务主体（Service Principal）测试，不需要在镜像里安装Azure CLI，直接给容器传递以下环境变量即可——AzureServiceTokenProvider会自动读取这些变量完成认证：

docker run \
  -e AZURE_CLIENT_ID="你的服务主体ID" \
  -e AZURE_CLIENT_SECRET="你的服务主体密钥" \
  -e AZURE_TENANT_ID="你的Azure租户ID" \
  -p 8080:80 your-image-name

这种方式不需要修改Dockerfile，也不会把敏感信息留在镜像里，是本地测试的首选。

二、不推荐但可临时测试的方案（镜像内安装Azure CLI） #

如果一定要在镜像内集成Azure CLI并完成登录（注意：硬编码敏感信息会导致镜像泄露风险，绝对不能用于生产），你需要把Azure CLI安装到最终运行应用的aspnet镜像中，而不是单独开一个阶段：

FROM mcr.microsoft.com/dotnet/core/sdk:3.1 AS build-env
MAINTAINER yummylumpkins <yummy@lumpkins.com>
WORKDIR /app
COPY . ./
RUN dotnet publish MyAPIApp -c Release -o out

FROM mcr.microsoft.com/dotnet/core/aspnet:3.1
WORKDIR /app
# 在aspnet镜像中安装Azure CLI
RUN apt-get update && apt-get install -y curl apt-transport-https lsb-release gnupg \
    && curl -sL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null \
    && AZ_REPO=$(lsb_release -cs) \
    && echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ $AZ_REPO main" | tee /etc/apt/sources.list.d/azure-cli.list \
    && apt-get update && apt-get install -y azure-cli \
    && rm -rf /var/lib/apt/lists/*
# 用服务主体登录（仅用于临时测试，生产禁止硬编码）
RUN az login --service-principal -u <你的服务主体URL> -p <你的服务主体密钥> --tenant <你的租户ID>
# 复制编译好的应用文件
COPY --from=build-env /app/out .
ENTRYPOINT ["dotnet", "MyAPIApp.dll"]

三、Azure DevOps流水线的最佳实践 #

到了流水线部署阶段，完全不需要在镜像里处理认证，推荐两种更安全的方式：

• 使用托管标识（Managed Identity）：将容器部署到Azure App Service、AKS等服务时，开启托管标识，给该标识分配Key Vault的访问权限。应用中的AzureServiceTokenProvider会自动识别托管标识，无需任何登录配置。
• 流水线中传递密钥：用Azure DevOps的Azure Key Vault任务直接拉取密钥，通过环境变量传递给容器；或者用Azure CLI任务在流水线中完成认证，再执行部署操作。

内容的提问来源于stack exchange，提问作者snejame