将Azure Kubernetes服务AKS附加到Azure容器注册表ACR而不是订阅所有者

问题描述

我正在通过ARM模板和Azure DevOps管道部署AKS，并希望自动将附件附加到ACR

为此，我需要执行az aks update --name $(clusterName) --resource-group $(rgName) --attach-acr $(containerRegistryName)

..但是这需要所有者处于“订阅”级别，我不希望服务原则具有

是否有任何解决方法？

解决方法

您唯一的解决方法是创建一个自定义角色，该角色仅允许向该特定资源分配权限。看起来像这样：

$role = Get-AzureRmRoleDefinition "Virtual Machine Contributor"
$role.Id = $null
$role.Name = "xxx"
$role.Description = "yyy"
$role.Actions.Clear()
$role.Actions.Add("Microsoft.Authorization/roleAssignments/write")
$role.AssignableScopes.Clear()

$scope = "your azure container registry resourceId"
$role.AssignableScopes.Add($scope)
$def = New-AzureRmRoleDefinition -Role $role

由于az cli的实现方式，也许您还需要添加读取权限，但是从本质上讲，写应该足够了