将容器推到Azure容器注册表时拒绝资源访问

Question

当使用Docker Compose将容器推入私有Azure容器注册表时，Azure DevOps管道返回以下错误：

正在推送[容器]([注册表]/[应用程序]:最新）...

推送引用存储库[docker.io/[registry]/[container]]

拒绝：对资源的访问请求被拒绝

azure-pipeline.yml文件取自Microsoft Microservices eShopOnContainer示例中所示的Docker Compose示例，如下所示：

variables:
azureContainerRegistry: myregistry
azureSubscriptionEndpoint: My Service Principle
...
task: DockerCompose@0
    displayName: Compose push customer API
    inputs:
        containerregistrytype: Azure Container Registry
        azureSubscriptionEndpoint: $(azureSubscriptionEndpoint)
        azureContainerRegistry: $(azureContainerRegistry)
        dockerComposeCommand: 'push [container]'
        dockerComposeFile: docker-compose.yml
        qualifyImageNames: true
        projectName: ""
        dockerComposeFileArgs: |
           TAG=$(Build.SourceBranchName)

服务原则在AcrPush角色中。

Answer 1

解决方案是显式地使用容器名称。文档是误导性的，因为它首先声明:ContainerRegistryType默认情况下是Azure容器注册表。该示例继续将Contoso作为AzureContainerRegistry的值。

这是不对的。您需要将其显式设置为Azure中的“login server”值。因此，注册表应该是“contoso.azurer.io”。所以完整的例子应该是：

variables:
azureContainerRegistry: contoso.azurecr.io
azureSubscriptionEndpoint: Contoso
steps:
- task: DockerCompose@0
  displayName: Container registry login
  inputs:
      containerregistrytype: Azure Container Registry
      azureSubscriptionEndpoint: $(azureSubscriptionEndpoint)
      azureContainerRegistry: $(azureContainerRegistry)

这就是为什么它所提到的push repo实际上是:docker.io（public docker hub)，因为它实际上必须是默认的whch解释了拒绝访问错误。