配置Azure AD用户访问Azure容器注册表只读权限时登录失败

嘿，我来帮你揪出这个问题的根源！服务主体能正常访问ACR但Azure AD用户不行，大概率是权限配置或登录流程的细节没做对，我整理了几个关键排查点和解决办法：

• 确认IAM角色的分配范围与有效性
  别光看角色是Reader，得确保分配的范围是目标ACR本身，而不是父资源组或订阅（虽然订阅级的Reader也能覆盖，但有时候会有延迟）。另外如果是通过安全组分配的角色，要等Azure AD同步完成（通常15-30分钟）。你可以用这条命令验证分配是否正确：

  az role assignment list --assignee <你的用户邮箱> --scope /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.ContainerRegistry/registries/<ACR名称>
  

  检查输出里的roleDefinitionName是不是"Reader"，scope是不是精准指向你的ACR资源。

• 检查Azure CLI的登录上下文
  有时候用户登录了多个Azure订阅，当前上下文可能不在ACR所在的订阅下，导致权限校验失败。先跑这条命令确认当前上下文：

  az account show
  

  如果订阅不对，用这条切换：

  az account set --subscription <ACR所在的订阅ID>
  

• 确保用户登录流程正确
  服务主体登录需要指定--service-principal参数，但Azure AD用户登录是交互式的，直接用这条命令就行：

  az acr login --name <ACR名称>
  

  如果你的账号启用了MFA，一定要在弹出的浏览器窗口完成MFA验证，别中途取消。

• 排查具体错误信息
  你没提到具体的报错内容，建议加上--debug参数重新登录，能拿到更详细的日志：

  az acr login --name <ACR名称> --debug
  

  重点看日志里的权限校验环节，比如是不是提示“权限不足”，或者Azure AD Token的受众（audience）不对——如果是Token问题，可能需要清理CLI的缓存：az account clear，然后重新登录。

• 检查ACR的访问限制
  如果你的ACR配置了防火墙或私有端点，要确保用户的IP在允许列表里，或者用户处于ACR的虚拟网络环境中。另外确认ACR没禁用Azure AD身份验证（默认是启用的，可通过az acr show --name <ACR名称> --query "adminUserEnabled"查看，adminUserEnabled为true不影响Azure AD登录）。

如果按上面的步骤排查后还是有问题，把--debug输出的关键错误信息贴出来，我再帮你深挖！

内容的提问来源于stack exchange，提问作者Spike