从GitHub Actions工作流访问私有保护Azure容器注册表的方案咨询

结论判断 #

你的调研结论是正确的：GitHub托管的Actions Runner运行在GitHub自有网络环境中，无法直接接入你的Azure虚拟网络（VNet），因此无法访问仅通过私有端点暴露的Azure容器注册表（ACR）。

可行解决方案建议 #

方案一：部署自托管GitHub Runner到Azure VNet内 #

在ACR所在的Azure VNet中创建虚拟机、Azure Kubernetes Service（AKS）节点或Azure Container Instances，将其配置为GitHub自托管Runner。这类Runner处于VNet内部，可直接访问ACR的私有端点，同时能正常拉取GitHub仓库代码执行构建任务，构建完成后直接推送镜像至ACR，全程无需ACR开启公网访问。

注意：需确保自托管Runner所在的VNet出站规则允许访问GitHub代码仓库，可通过配置GitHub的IP范围实现，该范围相对稳定，维护成本低于ACR的IP白名单。

方案二：混合网络打通+自托管Runner（适用于有自有办公网络的场景） #

若你拥有自有办公网络，可通过VPN或ExpressRoute将办公网络与Azure VNet打通，随后在办公网络内部署自托管GitHub Runner。该Runner可通过打通的网络访问ACR私有端点，同时正常连接GitHub完成构建流程。

方案三：优化公网白名单的自动维护 #

若暂时无法部署自托管Runner，可通过自动化脚本解决IP列表冗长的维护问题：编写定时运行的GitHub Action或Azure Function，调用GitHub Meta接口获取最新的IP范围，自动更新ACR的防火墙允许规则，无需手动维护IP清单。

内容的提问来源于stack exchange，提问作者Hashem