Hämta avbildningar från ett containerregister till ett AKS-kluster i en annan Microsoft Entra-klientorganisation

I vissa fall kan du ha ditt Azure AKS-kluster i en Microsoft Entra-klientorganisation och ditt Azure-containerregister i en annan klientorganisation. Den här artikeln går igenom stegen för att aktivera autentisering mellan klientorganisationer med hjälp av AKS-tjänstens huvudnamnsautentiseringsuppgifter för att hämta från containerregistret.

Scenarioöversikt

Antaganden för det här exemplet:

• AKS-klustret finns i Klient A och Azure-containerregistret finns i klient B.
• AKS-klustret konfigureras med autentisering med tjänstens huvudnamn i Klient A. Mer information finns i Skapa och använda ett huvudnamn för tjänsten för ditt AKS-kluster.

Du behöver minst deltagarrollen i AKS-klustrets prenumeration. Du behöver också minst rollerna Rollbaserad åtkomstkontrolladministratör och Behållarregisterbidragsgivare och Administratör för datakaccesskonfiguration i containerregistrets prenumeration.

Använd följande steg för att:

1. Skapa en ny app för flera klienter (tjänstens huvudnamn) i klientorganisation A.
2. Tilldela appen i Tenant B.
3. Konfigurera tjänstens princip för att hämta från registret i klient B.
4. Uppdatera AKS-klustret i Hyresgäst A för att autentisera med den nya tjänstens huvudansvarig.

Stegvisa instruktioner

Steg 1: Skapa Microsoft Entra-program med flera klientorganisationer

1. Logga in på Azure-portalen i tenantenhet A.

2. Sök efter och markera Microsoft Entra ID.

3. Under Hantera väljer du Appregistreringar > + Ny registrering.

4. I Kontotyper som stöds väljer du Konton i valfri organisationskatalog.

5. I Redirect URI (Omdirigerings-URI) anger du https://www.microsoft.com.

6. Välj Registrera.

7. På sidan Översikt noterar du program-ID:t (klient-ID). Du använder det här ID:t i steg 2 och steg 4.

   

8. I Certifikat och hemligheter går du till Klienthemligheter och väljer + Ny klienthemlighet.

9. Ange en Beskrivning , till exempel Lösenord och välj Lägg till.

10. Anteckna värdet för klienthemligheten i Klienthemligheter. Du använder det för att uppdatera AKS-klustrets tjänsthuvudnamn i steg 4.

    

Steg 2: Etablera tjänstens huvudnamn i ACR-klientorganisationen

1. Öppna följande länk med ett administratörskonto i Klient B. När detta anges infogar du ID för klient B och program-ID (klient-ID ) för multitenantappen.

   https://login.microsoftonline.com/<Tenant B ID>/oauth2/authorize?client_id=<Multitenant application ID>&response_type=code&redirect_uri=<redirect url>
   

2. Välj Medgivande för din organisations räkning och sedan Acceptera.

   

Steg 3: Bevilja service principal behörighet att hämta från registret

I Klient B tilldelar du rätt roll till tjänstens huvudnamn, begränsat till målcontainerregistret. Du måste tilldela antingen Container Registry Repository Reader (för ABAC-aktiverade register) eller AcrPull (för icke-ABAC-register).

Du kan använda Azure Portal eller andra verktyg för att tilldela rollen. Exempel på steg med hjälp av Azure CLI finns i Azure Container Registry-autentisering med tjänsthuvudnamn.

Skärmbild av tilldelning av roll till fleranvändarapplikation.

Steg 4: Uppdatera AKS med Microsoft Entra-programhemligheten

Använd multitenantapplikations-ID och klienthemligheten som du samlade in i steg 1 för att uppdatera AKS-tjänstens autentiseringsuppgifter.

Det kan ta flera minuter att uppdatera tjänstens princip.

Nästa steg

• Läs mer om Azure Container Registry-autentisering med tjänstens huvudnamn.
• Läs mer om hämtningshemligheter för avbildningar i Kubernetes-dokumentationen.
• Lär dig mer om program- och tjänsthuvudobjekt i Microsoft Entra-ID.
• Läs mer om scenarier för att autentisera med Azure Container Registry från ett Kubernetes-kluster.