Docker与Azure间镜像推拉问题咨询：权限配置及脚本运行故障处理

1. 文档适用性说明 #

该文档完全适配你的场景。Azure容器注册表（ACR）的服务主体身份验证机制不需要Docker账号与Azure账号做关联绑定，你可以为服务主体单独分配AcrPull（仅拉取）或AcrPush（推拉）权限，即可实现Docker Desktop直接从ACR拉取镜像的需求，完美解决两个平台账号不统一的权限适配问题。

2. az命令不存在报错的解决方案 #

你遇到的报错是因为WSL环境中默认没有安装Azure CLI工具，可按以下步骤处理：

• 首先在WSL终端中执行对应系统的Azure CLI安装命令：Debian/Ubuntu发行版可通过官方apt源安装，其他发行版可对应使用yum、brew等包管理器完成安装
• 安装完成后执行az login，按照提示完成Azure账号登录
• 登录完成后重新执行./assignpermissions.sh即可正常运行

如果不想在WSL本地安装工具，也可以直接在Azure门户的Cloud Shell中运行该脚本，无需本地配置环境。

3. 后续操作注意事项 #

• 权限配置遵循最小可用原则：如果仅需要拉取镜像，给服务主体分配AcrPull角色即可，不要额外分配更高权限降低风险
• 服务主体的ID和密钥生成后妥善保存，不要硬编码到代码或公开的配置文件中，建议设置合理的密钥过期时间
• 权限配置完成后，Docker登录ACR时使用命令docker login <你的ACR名称>.azurecr.io，用户名输入服务主体的应用ID，密码输入生成的密钥即可，不需要输入你个人的Docker或Azure账号凭证
• 确认WSL与Docker Desktop已开启集成，否则WSL环境中无法正常调用Docker命令与Desktop的容器引擎交互
• 运行权限分配脚本时，你当前登录az的账号需要持有目标ACR的「所有者」或「用户访问管理员」角色，否则会出现权限不足无法分配角色的报错

内容的提问来源于stack exchange，提问作者user3807918