Pulumi Azure Native创建AKS集群时如何绑定已有ACR？

1. 绑定已有ACR的实现方法 #

Pulumi Azure Native的ManagedClusterArgs没有封装直接传入ACR ID的参数，本质是因为Azure官方的AKS API没有原生的直接绑定字段，Portal和Azure CLI的「一键集成ACR」功能本质是封装了自动权限分配的流程，你可以通过以下步骤手动实现完全等效的效果：

• 第一步：获取已创建的ACR的资源ID，以及AKS集群节点池自动生成的托管标识<cluster-name>-agentpool的主体ID（Principal ID）
• 第二步：创建Pulumi的RoleAssignment资源，为上述托管标识分配对应ACR范围内的AcrPull内置角色

2. 授予agentpool托管标识AcrPull角色的效果验证 #

该操作可以实现和Portal/CLI直接集成ACR完全一致的效果，没有任何功能差异。Azure CLI的az aks update --attach-acr命令后台执行的核心逻辑就是为节点池托管标识自动分配对应ACR的AcrPull权限。

参考代码示例（TypeScript） #

import * as azure_native from "@pulumi/azure-native";

// 先获取已创建的ACR实例
const existingAcr = azure_native.containerregistry.getRegistry({
    resourceGroupName: "你的资源组名称",
    registryName: "你的ACR名称"
});

// 创建AKS集群（省略其他非必要配置参数）
const aksCluster = new azure_native.containerservice.ManagedCluster("你的AKS名称", {
    resourceGroupName: "你的资源组名称",
    // 其他必要配置：节点池规格、网络模式、版本等
    identity: {
        type: "SystemAssigned"
    }
});

// 获取AKS节点池kubelet托管标识的主体ID
const agentPoolPrincipalId = aksCluster.identityProfile.apply(p => p!["kubeletidentity"].objectId!);

// AcrPull角色为Azure全局固定角色，也可通过getRoleDefinition接口动态查询避免硬编码
const acrPullRoleDefinitionId = "/subscriptions/你的订阅ID/providers/Microsoft.Authorization/roleDefinitions/7f951dda-4ed3-4680-a7ca-43fe172d538d";

// 绑定权限
const aksAcrPullRole = new azure_native.authorization.RoleAssignment("aks-acr-pull-perm", {
    scope: existingAcr.id,
    roleDefinitionId: acrPullRoleDefinitionId,
    principalId: agentPoolPrincipalId
});

注意：如果你的AKS使用用户分配托管标识作为节点池身份，只需要把principalId替换为对应用户分配托管标识的主体ID即可。

内容的提问来源于stack exchange，提问作者MD TAREQ HASSAN