Azure WebApp对接容器注册表时持续部署偶发未触发问题咨询

• Webhook链路中断：容器注册表的镜像推送事件Webhook可能因为注册表防火墙规则拦截、Webhook签名过期、权限失效等问题，没有成功发送到Azure WebApp端，WebApp未感知到镜像更新，因此不会产生相关日志也不会启动部署。
• 镜像缓存策略拦截：如果使用latest这类可复用的固定镜像标签，Azure WebApp默认的镜像缓存机制会判定本地已有同标签镜像，跳过拉取和部署流程，这种情况在未配置强制拉取镜像的设置时高频出现。
• 持续部署配置静默失效：WebApp部署中心的持续部署开关可能因为后台同步异常，出现前端显示开启但实际后台触发器未生效的情况，或镜像推送事件的校验逻辑不通过被直接丢弃，不会记录到普通应用日志流中。
• Azure多租户资源积压：如果使用公共多租户的App Service实例，当所在区域集群出现资源负载过高、后台任务队列积压时，低优先级的部署触发任务会被延后，极端情况会出现数小时无响应的问题。
• 镜像兼容性校验拦截：若新推送的镜像为多架构清单，且架构与WebApp运行栈配置不匹配，部署前置校验会直接拦截该次更新请求，不会进入后续部署流程也不会生成可观测的日志记录。

• 关闭镜像缓存：在WebApp应用配置中新增键为WEBSITE_DOCKER_ALWAYS_PULL_IMAGE、值为true的配置项，同时将容器拉取策略设置为Always，确保每次部署都会强制拉取最新镜像，不会因为标签复用跳过部署。
• 更换为唯一镜像标签：放弃使用latest这类可变标签，每次推送镜像时使用Commit哈希、构建序列号等唯一值作为标签，避免缓存判定异常。同时调整CI流程，镜像推送完成后主动调用部署接口触发更新，不依赖注册表Webhook被动触发，可用Azure CLI执行命令：az webapp config container set --name <WebApp名称> --resource-group <资源组名称> --docker-custom-image-name <新镜像完整标签>。
• 定期校验Webhook链路：定期检查容器注册表对应Webhook的调用记录，确认返回状态码为2xx，如出现调用失败可手动重发测试；同时确保容器注册表的访问控制规则放行了WebApp的所有出站IP，WebApp的托管身份持有容器注册表的AcrPull权限。
• 开启部署全链路日志：在WebApp应用配置中新增键为DIAGNOSTICS_AZUREBLOBRETENTIONINDAYS、值为7的配置项，同时开启部署日志记录，出现异常时可直接在Kudu控制台的/LogFiles/kudu/deployment路径下排查静默失败的根因。
• 增加CI侧校验重试逻辑：在CI流程中新增部署状态校验步骤，镜像推送完成后每5分钟拉取一次WebApp当前运行的镜像版本，超过20分钟未更新就主动触发一次部署，连续重试失败直接触发告警通知。

内容的提问来源于stack exchange，提问作者mobiusinversion