跨订阅场景下Azure Container App无法从ACR拉取镜像的解决方案咨询

一、搞定az containerapp up跨订阅ACR访问的报错 #

这个报错本质是az containerapp up默认会在当前操作的订阅（也就是你的订阅B）里找容器注册表，但你的ACR在订阅A，所以肯定找不到。解决分两步：

1. 给订阅B的ACA开ACR访问权限 #

给订阅B里ACA所在的资源组，或者ACA的系统托管身份，分配订阅A中ACR的AcrPull角色：

• 先切到订阅A的上下文：az account set --subscription <订阅A的ID>
• 执行角色分配命令：

  az role assignment create \
      --assignee <ACA的系统托管身份ID/资源组ID> \
      --role "AcrPull" \
      --scope <ACR的资源ID>
  

  嫌CLI麻烦的话，直接去Azure门户里的订阅A的ACR页面，找到「访问控制（IAM）」，添加订阅B的ACA身份（或资源组）为AcrPull角色也行。

2. 修改az containerapp up命令 #

别让命令自动找ACR，直接把完整的镜像地址（包含ACR的登录服务器）写进去：

az containerapp up \
    --subscription <订阅B ID> \
    --resource-group <订阅B的资源组名> \
    --name <你的ACA名称> \
    --image <ACR登录服务器地址>/<镜像名>:<标签> \
    --environment <ACA环境名称>

这样命令就不会在订阅B里瞎找ACR了，只要权限配对，就能直接拉取订阅A的镜像。

二、Azure DevOps里能不能同时用两个服务连接？ #

完全可以！你可以在流水线里切换使用订阅A和订阅B的服务连接，步骤很简单：

1. 先配好两个服务连接 #

在Azure DevOps的项目设置里，创建两个Azure资源管理器服务连接：

• 一个绑订阅A（用来验证ACR镜像或者操作ACR，可选）
• 另一个绑订阅B（专门用来部署到ACA）

2. 流水线里切换使用 #

如果是YAML流水线，用AzureCLI任务分别指定不同的服务连接就行：

steps:
  # 可选操作：验证订阅A里的镜像是否存在
  - task: AzureCLI@2
    displayName: 检查ACR镜像
    inputs:
      azureSubscription: '订阅A的服务连接名称'
      scriptType: 'bash'
      inlineScript: |
        az acr repository show --name <ACR名称> --repository <镜像名>

  # 核心部署步骤：用订阅B的服务连接部署ACA
  - task: AzureCLI@2
    displayName: 部署到订阅B的ACA
    inputs:
      azureSubscription: '订阅B的服务连接名称'
      scriptType: 'bash'
      inlineScript: |
        az containerapp up \
          --subscription <订阅B ID> \
          --resource-group <资源组名> \
          --name <ACA名称> \
          --image <ACR登录服务器>/<镜像名>:<标签> \
          --environment <ACA环境名>

要是用经典流水线，每个Azure任务里直接选对应的服务连接就OK。

三、低成本共享ACR的实操建议 #

• 全环境共用ACR：不用给开发、测试、UAT每个环境单独建ACR，所有订阅B的环境都用订阅A的共享ACR，只需要给每个环境的ACA身份分配AcrPull权限就行，省掉重复资源的钱。
• 镜像自动清理：在订阅A的ACR里配置保留策略，比如只保留最新10个镜像，自动删除旧镜像，能减少存储成本。
• 网络隔离（可选）：如果怕ACR被乱访问，就给ACR加虚拟网络规则，只允许订阅B里ACA所在的虚拟网络访问，安全又不额外花钱。

内容的提问来源于stack exchange，提问作者Shree