Konfigurieren von Registrierungsendpunkten

Datenflussdiagramme und der HTTP/REST-Connector verwenden Registrierungsendpunkte, um WebAssembly(WASM)-Module und Graphdefinitionen aus Containerregistrierungen abzurufen. Azure IoT Einsatz ruft alle benutzerdefinierten Connectorvorlagen ab, die Sie aus Containerregistrierungen entwickeln. Sie können die Endpunkteinstellungen, die Authentifizierung und andere Einstellungen konfigurieren, um eine Verbindung mit Azure Container Registry (ACR), Microsoft Containerregistrierung (MCR) oder GitHub Containerregistrierung (ghcr.io) herzustellen.

Voraussetzungen

• Eine Instanz von Azure IoT Einsatz, die in einem Kubernetes-Cluster bereitgestellt wird. Weitere Informationen finden Sie unter Deploy Azure IoT Einsatz.

• Azure IoT Einsatz Version 1.2 oder höher.
• Zugriff auf eine Containerregistrierung, z. B. ACR.

Die Azure CLI-Beispiele in diesem Artikel verwenden Umgebungsvariablen, sodass Sie jeden Wert nur einmal festlegen und die Befehle dann unverändert kopieren und einfügen können. Wenn Sie die Azure IoT Einsatz Codespaces-Umgebung aus dem Quickstart verwenden, sind diese Variablen bereits für Sie festgelegt und Sie können diesen Schritt überspringen. Ansonsten setze die folgenden Umgebungsvariablen in deiner Shell, bevor du die Befehle ausführst.

Die folgenden Skripte legen die am häufigsten verwendeten Umweltvariablen fest:

SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
AIO_INSTANCE_NAME=<instance-name>
CLUSTER_NAME=<cluster-name>
LOCATION=<region>

$SUBSCRIPTION_ID = "<subscription-id>"
$RESOURCE_GROUP = "<resource-group-name>"
$AIO_INSTANCE_NAME = "<instance-name>"
$CLUSTER_NAME = "<cluster-name>"
$LOCATION = "<region>"

Du musst nur die Variablen festlegen, die dieser Artikel verwendet. Dieser Artikel könnte zusätzliche Umgebungsvariablen für die von Ihnen gewählten Ressourcennamen verwenden. Der Artikel erklärt, wie man sie dort platziert, wo sie eingeführt werden.

Dieser Artikel verwendet außerdem folgende Umweltvariablen für die von Ihnen gewählten Werte: REGISTRY_ENDPOINT (der Name des Registry-Endpunkts), ACR_NAME (der Name REGISTRY_HOST des Azure Container Registry), (der Registry-Hostname), CLIENT_ID und TENANT_ID (die vom Benutzer zugewiesenen verwalteten Identitätskennungen), REGISTRY_USERNAME sowie REGISTRY_PASSWORD (Registry-Anmeldedaten) und GITHUB_USERNAME sowie GITHUB_PAT (GitHub Container Registry-Anmeldedaten). Stelle jede einzelne ein, bevor du die zugehörigen Befehle ausführst.

Erstellen eines Registrierungsendpunkts

Ein Registrierungsendpunkt definiert die Verbindung mit Ihrer Containerregistrierung. Datenflussdiagramme verwenden Registrierungsendpunkte, um WASM-Module und Diagrammdefinitionen abzurufen. Azure IoT Einsatz verwendet Registrierungsendpunkte, um benutzerdefinierte Connectorvorlagen abzurufen. Nachdem Sie einen Registrierungsendpunkt erstellt haben:

• Sie können alle Diagramme, die Sie in Ihre Containerregistrierung übertragen haben, in der Betriebserfahrung in Datenflussdiagrammen verwenden.
• Sie können alle in Ihre Containerregistrierung übertragenen benutzerdefinierten Connectors in der Betriebserfahrung verwenden, um eingehende Geräteendpunkte zu erstellen.

az iot ops registry create \
  --name $REGISTRY_ENDPOINT \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host $ACR_NAME.azurecr.io \
  --auth-type SystemAssignedManagedIdentity \
  --audience https://management.azure.com/

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param registryEndpointName string = '<REGISTRY_ENDPOINT_NAME>'
param acrName string = '<YOUR_ACR_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2026-03-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource registryEndpoint 'Microsoft.IoTOperations/instances/registryEndpoints@2026-03-01' = {
  parent: aioInstance
  name: registryEndpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    host: '${acrName}.azurecr.io'
    authentication: {
      method: 'SystemAssignedManagedIdentity'
      systemAssignedManagedIdentitySettings: {
        audience: 'https://management.azure.com/'
      }
    }
  }
}

az deployment group create --resource-group $RESOURCE_GROUP --template-file main.bicep

Konfigurationsoptionen

Host

Die host Eigenschaft gibt nur den Containerregistrierungshostnamen an. Fügen Sie nicht den Repositorypfad ein, in dem Artefakte gespeichert sind. Verwenden Sie für ACR das Format <registry-name>.azurecr.io.

Beispiele:

• myregistry.azurecr.io(Azure Container Registry)
• mcr.microsoft.com (Microsoft Containerregistrierung)
• ghcr.io (GitHub Containerregistrierung)
• docker.io(Docker Hub)

Artefaktpfade und Graphmodul-Referenzen

Der Host des Registry-Endpunkts identifiziert die Registry. Artefaktpfade identifizieren das Repository und das Tag innerhalb dieser Registry. Wenn eine Graphdefinition auf ein WASM-Modul verweist, muss die Modulreferenz mit dem Speicherort des Modulartefakts im Register übereinstimmen.

Wenn Sie Diagramm- und Modulartefakte an die Stammebene Ihrer Registrierung übertragen, verwenden Sie kurze Artefaktnamen wie graph-simple:1.0.0 und temperature:1.0.0. Wenn Sie Artefakte unter einem Repositorypfad pushen, fügen Sie diesen Repositorypfad sowohl in die Referenz zum Datenflussdiagramm als auch in die Modulverweise innerhalb der Diagrammdefinition ein.

Authentifizierungsmethoden

Registrierungsendpunkte unterstützen mehrere Authentifizierungsmethoden. Die von Ihnen gewählte Methode hängt von der Containerregistrierung und den Sicherheitsanforderungen ab.

Vom System zugewiesene verwaltete Identität

Systemseitige zugewiesene verwaltete Identität verwendet die integrierte Identität der Azure IoT Einsatz-Instanz zur Authentifizierung bei der Registrierung. Verwenden Sie diesen Ansatz für ACR, da dadurch die Notwendigkeit der Verwaltung von Anmeldeinformationen beseitigt wird.

Bevor Sie den Registrierungsendpunkt konfigurieren, stellen Sie sicher, dass die systemseitig zugewiesene verwaltete Identität von Azure IoT Einsatz über die notwendigen Berechtigungen verfügt.

1. Wechseln Sie im Azure-Portal zu Ihrer Azure IoT Einsatz-Instanz, und wählen Sie "Übersicht" aus.
2. Kopieren Sie den Namen der Erweiterung, die nach der Azure IoT Einsatz Arc-Erweiterung aufgeführt ist. Beispiel: azure-iot-operations-xxxx7.
3. Wechseln Sie zu Ihrer Containerregistrierung >Zugriffssteuerung (IAM)>Rollenzuweisung hinzufügen.
4. Wählen Sie auf der Registerkarte Rolle die AcrPull-Rolle.
5. Wählen Sie auf der Registerkarte Mitglieder unter Zugriff zuweisenBenutzer, Gruppe oder Dienstprinzipal und wählen Sie dann + Mitglieder auswählen und suchen Sie nach dem Namen der Azure IoT Einsatz Arc-Erweiterung. Wählen Sie die Erweiterung und wählen Sie Auswählen.
6. Wählen Sie Überprüfen + Zuweisen, um die Rollenvergabe abzuschließen.

az iot ops registry create \
  --name $REGISTRY_ENDPOINT \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host $ACR_NAME.azurecr.io \
  --auth-type SystemAssignedManagedIdentity \
  --audience https://management.azure.com/

authentication: {
  method: 'SystemAssignedManagedIdentity'
  systemAssignedManagedIdentitySettings: {
    audience: 'https://management.azure.com/'
  }
}

Der Operator versucht, die Zielgruppe vom Endpunkt abzuleiten, wenn Sie sie nicht angeben. Bei ACR ist die Zielgruppe in der Regel https://management.azure.com/.

Vom Benutzer zugewiesene verwaltete Identität

Mit der vom Benutzer zugewiesenen verwalteten Identität können Sie eine bestimmte verwaltete Identität verwenden, die Sie mit den erforderlichen Berechtigungen erstellen und konfigurieren. Bevor Sie den Registrierungsendpunkt konfigurieren, stellen Sie sicher, dass die benutzerseitig zugewiesene verwaltete Identität über die AcrPull-Rolle für Ihre Containerregistrierung verfügt.

az iot ops registry create \
  --name $REGISTRY_ENDPOINT \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host $ACR_NAME.azurecr.io \
  --auth-type UserAssignedManagedIdentity \
  --client-id $CLIENT_ID \
  --tenant-id $TENANT_ID

authentication: {
  method: 'UserAssignedManagedIdentity'
  userAssignedManagedIdentitySettings: {
    clientId: '<CLIENT_ID>'
    tenantId: '<TENANT_ID>'
  }
}

Der Operator versucht, den Bereich vom Endpunkt abzuleiten, wenn Sie ihn nicht angeben.

Geheimnis für den Artefaktabruf

Mit Artefakt-Pullschlüsseln können Sie benutzernamen- und Kennwortauthentifizierung für Registrierungen verwenden, die die verwaltete Identitätsauthentifizierung nicht unterstützen.

Erstellen Sie zunächst einen Kubernetes-Geheimschlüssel, der die Registrierungsanmeldeinformationen enthält:

kubectl create secret docker-registry my-registry-secret \
  --docker-server=myregistry.azurecr.io \
  --docker-username=$REGISTRY_USERNAME \
  --docker-password=$REGISTRY_PASSWORD \
  -n azure-iot-operations

az iot ops registry create \
  --name $REGISTRY_ENDPOINT \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host $REGISTRY_HOST \
  --auth-type ArtifactPullSecret \
  --secret-ref my-registry-secret

authentication: {
  method: 'ArtifactPullSecret'
  artifactPullSecretSettings: {
    secretRef: 'my-registry-secret'
  }
}

Anonyme Authentifizierung

Die anonyme Authentifizierung wird für öffentliche Registrierungen verwendet, für die keine Anmeldeinformationen erforderlich sind.

az iot ops registry create \
  --name $REGISTRY_ENDPOINT \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host $REGISTRY_HOST \
  --no-auth

authentication: {
  method: 'Anonymous'
  anonymousSettings: {}
}

Azure Container Registry-Integration

ACR ist die empfohlene Containerregistrierung für Azure IoT Einsatz. ACR bietet sichere, private Docker-Containerregistrierungen mit integrierter Authentifizierung über Microsoft Entra ID.

Voraussetzungen für ACR

1. Erstellen Sie eine ACR-Instanz: Wenn Sie keine instanz haben, erstellen Sie eine ACR-Instanz in Ihrem Abonnement.
2. Berechtigungen konfigurieren: Stellen Sie sicher, dass die von Azure IoT Einsatz verwaltete Identität über AcrPull-Berechtigungen für die Registrierung verfügt.
3. Push artifacts: Laden Sie Ihre WASM-Module und Diagrammdefinitionen mithilfe von Tools wie ORAS CLI in die Registrierung hoch.

Verwenden einer öffentlichen Registrierung

Sie können einen Registrierungsendpunkt so konfigurieren, dass er direkt auf eine öffentliche OCI-kompatible Registrierung verweist. Mit diesem Ansatz kannst du vorgefertigte WASM-Module und Graphendefinitionen referenzieren, ohne dein eigenes privates Register einrichten zu müssen.

Zum Beispiel werden die Azure IoT Einsatz-WASM-Beispielmodule und Graphdefinitionen unter ghcr.io/azure-samples/explore-iot-operations veröffentlicht. Erstelle einen Registry-Endpunkt für den ghcr.io Registry-Host und authentifiziere dich mit einem GitHub-PAT. Fügen Sie den azure-samples/explore-iot-operations Repositorypfad in Artefaktverweisen ein.

Zuerst erstelle ein Kubernetes-Geheimnis, das einen GitHub-Benutzernamen und einen PAT mit dem Umfang read:packages enthält:

kubectl create secret docker-registry ghcr-pull-secret \
  --docker-server=ghcr.io \
  --docker-username=$GITHUB_USERNAME \
  --docker-password=$GITHUB_PAT \
  -n azure-iot-operations

Erstellen Sie dann den Registry-Endpunkt, der auf das Geheimnis referenziert.

az iot ops registry create \
  --name public-ghcr \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP \
  --host ghcr.io \
  --auth-type ArtifactPullSecret \
  --secret-ref ghcr-pull-secret

resource publicRegistryEndpoint 'Microsoft.IoTOperations/instances/registryEndpoints@2026-03-01' = {
  parent: aioInstance
  name: 'public-ghcr'
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    host: 'ghcr.io'
    authentication: {
      method: 'ArtifactPullSecret'
      artifactPullSecretSettings: {
        secretRef: 'ghcr-pull-secret'
      }
    }
  }
}

Nachdem Sie diesen Registrierungsendpunkt erstellt haben, können Sie ihn in Ihrem Datenflussgrafen als registryEndpointRef: public-ghcr referenzieren. Die Runtime verwendet das Pull-Geheimnis für die Authentifizierung bei ghcr.io, und ruft die Beispielartefakte direkt ab.

Eine Liste der vorgefertigten Beispiel-WASM-Module und Graphdefinitionen, die unter ghcr.io/azure-samples/explore-iot-operations verfügbar sind, finden Sie unter Verwenden vorgefertigter Module aus einer öffentlichen Registry.

Standardmäßiger MCR-Registrierungsendpunkt

Wenn Sie Azure IoT Einsatz bereitstellen, wird automatisch ein Registrierungsendpunkt mit dem Namen default erstellt. Dieser Endpunkt verweist auf die Microsoft Container Registry (mcr.microsoft.com) mit anonymer Authentifizierung:

az iot ops registry show \
  --name default \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP

az iot ops registry list \
  --instance $AIO_INSTANCE_NAME \
  --resource-group $RESOURCE_GROUP

resource defaultRegistryEndpoint 'Microsoft.IoTOperations/instances/registryEndpoints@2026-03-01' = {
  parent: aioInstance
  name: 'default'
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    host: 'mcr.microsoft.com'
    authentication: {
      method: 'Anonymous'
      anonymousSettings: {}
    }
  }
}

Die integrierten Datenflussgraph-Transformationen (map, filter, branch, concatenate, window, throttle) verwenden diesen Endpunkt, um Verarbeitungsartefakte aus MCR abzurufen. Wenn du sie in einer registryEndpointRef: default Ressource nutztDataflowGraph, brauchst du keine zusätzliche Registry-Konfiguration. Weitere Informationen zu integrierten Transformationen finden Sie in der Übersicht über Datenflussdiagramme.

Andere Containerregistrierungen

Registrierungsendpunkte unterstützen alle OCI-kompatiblen Containerregistrierungen, einschließlich Docker Hub, GitHub Container Registry (ghcr.io), Harbor, AWS Elastic Container Registry (ECR) und Google Container Registry (GCR). Verwenden Sie für öffentliche Registrierungen die anonyme Authentifizierung. Verwenden Sie bei privaten Registrierungen die Artefakt-Pullschlüssel oder die verwaltete Identitätsauthentifizierung entsprechend.

Nächste Schritte

• Übersicht über Datenflussdiagramme
• Verwenden von WASM-Transformationen in Datenflussdiagrammen
• Konfigurieren von Datenflussendpunkten
• Konfigurieren Sie Datenflussprofile