使用Terraform Azurerm从零部署Azure容器应用遇镜像缺失问题求助

你的问题核心是新建ACR中无目标镜像，导致容器应用部署失败。以下两种方案可在Terraform流程内完成镜像构建与推送，确保容器应用能正常拉取镜像：

方案一：使用local-exec Provisioner 本地构建并推送镜像 #

该方案依赖本地Docker与Azure CLI环境，直接在Terraform执行过程中完成镜像构建、推送操作。

修改后的关键代码 #

resource "azurerm_container_registry" "cr" {
  name                = "<CONTAINER_REGISTRY_NAME>"
  resource_group_name = azurerm_resource_group.rg.name
  location            = var.location
  sku                 = "Standard"
  admin_enabled       = true // 启用管理员账户用于ACR登录
}

// 新增：构建并推送镜像到ACR的任务
resource "null_resource" "push_image_to_acr" {
  depends_on = [azurerm_container_registry.cr]

  provisioner "local-exec" {
    command = <<EOT
      # 登录目标ACR
      az acr login --name ${azurerm_container_registry.cr.name}
      # 构建镜像（需替换为你的Dockerfile所在路径）
      docker build -t ${azurerm_container_registry.cr.login_server}/<CONTAINER_IMAGE_NAME>:<CONTAINER_IMAGE_TAG> ./your-app-directory
      # 推送镜像至ACR
      docker push ${azurerm_container_registry.cr.login_server}/<CONTAINER_IMAGE_NAME>:<CONTAINER_IMAGE_TAG>
    EOT
  }
}

// 修改容器应用的依赖，等待镜像推送完成
resource "azurerm_container_app" "ca" {
  name                         = "<CONTAINER_APP_NAME>"
  container_app_environment_id = azurerm_container_app_environment.cae.id
  resource_group_name          = azurerm_resource_group.rg.name
  revision_mode                = "Single"

  identity {
    type         = "UserAssigned"
    identity_ids = [azurerm_user_assigned_identity.id.id]
  }

  registry {
    server   = azurerm_container_registry.cr.login_server
    identity = azurerm_user_assigned_identity.id.id
  }

  template {
    container {
      name   = "<CONTAINER_NAME>"
      image  = "${azurerm_container_registry.cr.login_server}/<CONTAINER_IMAGE_NAME>:<CONTAINER_IMAGE_TAG>"
      cpu    = 0.5
      memory = "1Gi"
    }
  }

  depends_on = [azurerm_role_assignment.role_assignment, null_resource.push_image_to_acr]
}

注意事项 #

• 本地需提前安装Azure CLI与Docker，并执行az login完成Azure账户登录
• 若不想启用ACR管理员账户，可改用服务主体登录ACR，需提前创建服务主体并赋予AcrPush权限
• 替换./your-app-directory为你的Dockerfile实际所在目录路径

方案二：使用ACR Tasks 云端构建镜像 #

该方案无需本地Docker环境，直接借助Azure ACR的云端构建能力完成镜像构建与推送，更适合CI/CD场景或无本地Docker环境的情况。

修改后的关键代码 #

resource "azurerm_container_registry" "cr" {
  name                = "<CONTAINER_REGISTRY_NAME>"
  resource_group_name = azurerm_resource_group.rg.name
  location            = var.location
  sku                 = "Standard"
}

// 新增：ACR云端构建镜像任务
resource "azurerm_container_registry_task" "build_image" {
  name                      = "build-app-image"
  container_registry_name   = azurerm_container_registry.cr.name
  resource_group_name       = azurerm_resource_group.rg.name
  location                  = var.location

  // 从本地上下文构建镜像
  docker_step {
    context_path     = "./your-app-directory" // Dockerfile所在本地目录
    image_names      = ["${azurerm_container_registry.cr.login_server}/<CONTAINER_IMAGE_NAME>:<CONTAINER_IMAGE_TAG>"]
    dockerfile_path  = "Dockerfile"
    push_enabled     = true // 构建完成后自动推送至ACR
  }

  trigger {
    base_image_trigger_enabled = false // 禁用基础镜像更新触发
  }
}

// 修改容器应用的依赖，等待ACR构建任务完成
resource "azurerm_container_app" "ca" {
  // ... 原有代码保持不变 ...
  depends_on = [azurerm_role_assignment.role_assignment, azurerm_container_registry_task.build_image]
}

注意事项 #

• 若需从远程代码仓库（如GitHub、Azure Repos）构建，可替换docker_step为source_trigger配置仓库地址与触发规则
• ACR Tasks会自动处理镜像推送，无需额外登录操作
• 确保ACR所在区域支持ACR Tasks功能

额外优化建议 #

• 生产环境建议使用服务主体而非ACR管理员账户进行权限管理，降低安全风险
• 可添加镜像存在性检查逻辑，避免重复构建推送，提升执行效率
• 若使用local-exec，可通过environment参数传递敏感信息，避免明文暴露

内容的提问来源于stack exchange，提问作者gabylink