解决Azure DevOps CI/CD连接私有ACR部署.NET8隔离函数至容器应用的问题

核心问题定位 #

你的流水线无法连接私有ACR，本质是流水线代理的IP不在ACR的允许访问列表内（ACR配置了虚拟网络或IP白名单限制）。以下是针对性的解决方向和流水线代码优化方案：

1. 直接添加流水线代理IP到ACR白名单 #

• 如果使用微软托管代理：下载对应区域的Azure DevOps托管代理出站IP列表，筛选你流水线运行区域的IP段，添加到ACR的网络设置 → 允许的IP地址中。
• 如果使用自托管代理：直接将代理机器的公网IP添加到ACR白名单即可。

2. 用Azure服务连接绕过IP限制（推荐） #

通过Azure资源管理器服务连接的身份认证，无需依赖IP白名单，直接让流水线访问ACR：

1. 在Azure DevOps中创建Azure资源管理器服务连接，确保服务主体拥有ACR的AcrPush/AcrPull权限，以及容器应用的Contributor权限。
2. 修改流水线代码，用AzureCLI任务替代原生Docker命令：

   pool:
     vmImage: 'ubuntu-latest'
   
   steps:
   - task: AzureCLI@2
     inputs:
       azureSubscription: '你的服务连接名称'
       scriptType: 'bash'
       inlineScript: |
         # 登录ACR（通过服务主体自动认证）
         az acr login --name your-acr-name
         # 构建镜像
         docker build -t your-acr-name.azurecr.io/dotnet-isolated-func:$(Build.BuildId) .
         # 推送镜像到ACR
         docker push your-acr-name.azurecr.io/dotnet-isolated-func:$(Build.BuildId)
   
   - task: AzureContainerApps@1
     inputs:
       azureSubscription: '你的服务连接名称'
       containerAppName: '你的容器应用名称'
       resourceGroup: '你的资源组名称'
       imageToDeploy: 'your-acr-name.azurecr.io/dotnet-isolated-func:$(Build.BuildId)'
       acrName: 'your-acr-name'
   

3. 额外配置：在ACR的网络设置中开启允许受信任的Azure服务访问，确保服务主体的请求能被ACR放行。

3. 将自托管代理部署到VNet内（安全级别最高） #

如果需要完全的内网访问，把自托管代理部署到与ACR同虚拟网络的虚拟机/容器实例中：

• 代理直接在VNet内访问ACR，无需公网IP，彻底规避IP白名单问题。
• 流水线中指定使用该自托管代理池：

  pool:
    name: '你的自托管代理池名称'
  

4. 验证容器应用的ACR访问权限 #

部署容器应用时，确保它能拉取ACR镜像：

• 如果容器应用和ACR在同VNet，直接配置ACR允许容器应用所在子网访问。
• 通过AzureContainerApps@1任务部署时，任务会自动关联ACR的拉取凭证，无需手动配置。

内容的提问来源于stack exchange，提问作者JOYBOY