Konfigurieren von Regeln für den Zugriff auf eine Azure-Containerregistrierung von einem Standort hinter einer Firewall

Dieser Artikel erläutert, wie Sie in Ihrer Firewall Regeln konfigurieren, um den Zugriff auf eine Azure-Containerregistrierung zuzulassen. Möglicherweise muss ein Azure IoT Edge-Gerät hinter einer Firewall oder einem Proxyserver auf eine Containerregistrierung zugreifen, um ein Pull für ein Containerimage auszuführen. Oder vielleicht benötigt ein gesperrter Server in einem lokalen Netzwerk Zugriff, um ein Push für ein Image auszuführen.

Informationen zum Konfigurieren des eingehenden Netzwerkzugriffs auf eine Containerregistrierung nur innerhalb eines virtuellen Azure-Netzwerks finden Sie unter Konfigurieren des privaten Azure-Links für eine Azure-Containerregistrierung.

Informationen über Registrierungsendpunkte

Um Images oder andere Artefakte in bzw. aus einer Azure-Containerregistrierung hoch- oder herunterzuladen, muss ein Client wie der Docker-Daemon über HTTPS mit zwei oder mehr unterschiedlichen Endpunkten interagieren. Für Clients, die von einer Firewall aus auf eine Registrierung zugreifen, müssen Sie Zugriffsregeln für jeden Endpunkt konfigurieren. Alle Endpunkte werden über Port 443 erreicht.

  • Globaler Endpunkt (REST-API) – Authentifizierungs- und Registrierungsverwaltungsvorgänge werden über den öffentlichen REST-API-Endpunkt der Registrierung verarbeitet. Dieser Endpunkt ist der Anmeldeservername der Registrierung. Beispiel: myregistry.azurecr.io

    • Registry REST-API-Endpunkt für Zertifikate – Azure Containerregistrierung verwendet ein Wildcard-SSL-Zertifikat für alle Unterdomänen. Wenn Sie eine Verbindung mit der Azure-Containerregistrierung mithilfe von SSL herstellen, muss der Client in der Lage sein, das Zertifikat für den TLS-Handshake herunterzuladen. In solchen Fällen muss azurecr.io auch zugänglich sein.

  • Endpunkt für die Datenspeicherung – Azure weist Blobspeicher zu in Azure Storage-Konten für jede Registrierung, um die Daten für Containerimages und andere Artefakte zu verwalten. Wenn ein Client auf Imageebenen in einer Azure-Containerregistrierung zugreift, erfolgen die Anforderungen über einen Speicherkonto-Endpunkt, der von der Registrierung bereitgestellt wird.

Wenn Ihre Registrierung georepliziert ist, muss ein Client möglicherweise mit dem Datenendpunkt in einer bestimmten Region oder mehreren replizierten Regionen interagieren.

  • Regionaler Endpunkt (sofern aktiviert) – Wenn regionale Endpunkte in einer Premium-SKU-Registrierung aktiviert sind, ruft jedes Georeplikat einen regionalen Endpunkt des Formulars <registry-name>.<region>.geo.azurecr.ioab. Mit regionalen Endpunkten können Clients eine direkte Verbindung mit einem bestimmten Georeplikat für Authentifizierungs- und Push-/Pull-/Löschvorgänge herstellen und den globalen Endpunkt umgehen. Wenn Sie Firewallregeln verwenden, müssen Sie den Zugriff auf den regionalen Endpunkt für jedes Georeplikat zulassen, mit dem Clients eine Verbindung herstellen.

Die vollständige Liste der Endpunkttypen und FQDN-Muster finden Sie in der Endpunktreferenz.

Zulassen des Zugriffs auf REST- und Datenendpunkte

  • REST-Endpunkt: Erlaubt den Zugriff auf den vollqualifizierten Namen des Registrierungsanmeldeservers, z. B. <registry-name>.azurecr.io, oder einen zugeordneten IP-Adressbereich.
  • Speicher(daten)endpunkt: Erlaubt den Zugriff auf alle Azure-Blobspeicherkonten mithilfe des Platzhalters *.blob.core.windows.net oder auf einen zugeordneten IP-Adressbereich.

Hinweis

Azure Container Registry unterstützt dedizierte Datenendpunkte, sodass Sie die Clientfirewallregeln für Ihren Registrierungsspeicher eng einschränken können. Aktivieren Sie optional Datenendpunkte in allen Regionen, in denen sich die Registrierung befindet bzw. in die sie repliziert wird, indem Sie das Format <registry-name>.<region>.data.azurecr.io verwenden.

Wenn auch regionale Endpunkte aktiviert sind, ermöglichen Sie den Zugriff auf <registry-name>.<region>.geo.azurecr.io jedes Georeplikat, mit dem Clients eine Verbindung herstellen.

Wenn IPv6 Dual-Stack-Endpunkte aktiviert sind, lösen Registrierungsendpunkte sowohl IPv4 als auch IPv6 auf. Firewallregeln, die auf den oben genannten FQDNs basieren, funktionieren weiterhin unverändert. Wenn Sie den Zugriff nach IP-Adressbereichen anstelle von FQDNs zulassen, sollten Sie IPv6-Datenverkehr in Ihren Regeln berücksichtigen.

Informationen zu den FQDNs der Azure Container Registry

Azure Container Registry verwendet zwei FQDNs: die Anmelde-URL und den Datenendpunkt.

  • Sowohl die Anmelde-URL als auch der Datenendpunkt sind innerhalb des virtuellen Netzwerks über private IP-Adressen zugänglich, indem eine Private Link-Verbindung aktiviert wird.
  • Eine Registrierung, die keine Datenendpunkte verwendet, muss von einem Endpunkt des Formulars *.blob.core.windows.netauf Daten zugreifen. Dies stellt beim Konfigurieren von Firewallregeln nicht die erforderliche Isolation bereit.
  • Eine Registrierung mit aktivierter privater Verbindung ruft automatisch den dedizierten Datenendpunkt ab.
  • Ein dedizierter Datenendpunkt wird pro Region für eine Registrierung erstellt.
  • Die Anmelde-URL bleibt gleich, ob der dedizierte Datenendpunkt aktiviert oder deaktiviert ist.

Zulassen des Zugriffs nach IP-Adressbereich

Wenn Ihre Organisation Richtlinien hat, um den Zugriff nur auf bestimmte IP-Adressen oder Adressbereiche zuzulassen, laden Sie die neueste Version von Azure IP Ranges and Service Tags – Public Cloud herunter.

Suchen Sie in der JSON-Datei nach AzureContainerRegistry, um die IP-Adressbereiche für ACR-REST-Endpunkte zu finden, für die Sie den Zugriff gewähren müssen.

Important

Die IP-Adressbereiche für Azure-Dienste können sich ändern, Updates werden wöchentlich veröffentlicht. Laden Sie die JSON-Datei regelmäßig herunter, und aktualisieren Sie Ihre Zugriffsregeln, sofern erforderlich. Wenn Ihr Szenario das Konfigurieren von Netzwerksicherheitsgruppen-Regeln in einem virtuellen Azure-Netzwerk umfasst, oder wenn Sie Azure Firewall verwenden, verwenden Sie stattdessen das DiensttagAzureContainerRegistry.

REST-IP-Adressen für alle Regionen

{
  "name": "AzureContainerRegistry",
  "id": "AzureContainerRegistry",
  "properties": {
    "changeNumber": 10,
    "region": "",
    "platform": "Azure",
    "systemService": "AzureContainerRegistry",
    "addressPrefixes": [
      "13.66.140.72/29",
    [...]

REST-IP-Adressen für eine bestimmte Region

Suchen Sie nach der gewünschten Region, z.B. AzureContainerRegistry.AustraliaEast.

{
  "name": "AzureContainerRegistry.AustraliaEast",
  "id": "AzureContainerRegistry.AustraliaEast",
  "properties": {
    "changeNumber": 1,
    "region": "australiaeast",
    "platform": "Azure",
    "systemService": "AzureContainerRegistry",
    "addressPrefixes": [
      "13.70.72.136/29",
    [...]

Speicher-IP-Adressen für alle Regionen

{
  "name": "Storage",
  "id": "Storage",
  "properties": {
    "changeNumber": 19,
    "region": "",
    "platform": "Azure",
    "systemService": "AzureStorage",
    "addressPrefixes": [
      "13.65.107.32/28",
    [...]

Speicher-IP-Adressen für eine bestimmte Region

Suchen Sie nach einer bestimmten Region, z.B. Storage.AustraliaCentral.

{
  "name": "Storage.AustraliaCentral",
  "id": "Storage.AustraliaCentral",
  "properties": {
    "changeNumber": 1,
    "region": "australiacentral",
    "platform": "Azure",
    "systemService": "AzureStorage",
    "addressPrefixes": [
      "52.239.216.0/23"
    [...]

Zulassen des Zugriffs durch Service-Tag

Verwenden Sie in einem virtuellen Azure-Netzwerk Netzwerksicherheitsregeln, um den Datenverkehr von einer Ressource wie z.B. einem virtuellen Computer zu einer Containerregistrierung zu filtern. Verwenden Sie das AzureContainerRegistry-Diensttag, um die Erstellung von Azure-Netzwerkregeln zu vereinfachen. Ein Diensttag repräsentiert eine Gruppe von IP-Adresspräfixen, mit denen global oder pro Azure-Region auf einen Azure-Dienst zugegriffen werden kann. Der Tag wird automatisch aktualisiert, wenn sich Adressen ändern.

Erstellen Sie z.B. eine ausgehende Netzwerksicherheitsgruppen-Regel mit dem Ziel AzureContainerRegistry, um Datenverkehr zu einer Azure-Containerregistrierung zuzulassen. Um den Zugriff auf das Diensttag nur in einem bestimmten Bereich zuzulassen, geben Sie den Bereich im folgenden Format an: AzureContainerRegistry.[region name]

Aktivieren dedizierter Datenendpunkte

Schritte zum Aktivieren dedizierter Datenendpunkte mithilfe des Azure Portals oder Azure CLI finden Sie unter Dedicated data endpoints in Azure Container Registry.

Nachdem Sie dedizierte Datenendpunkte für Ihre Registrierung eingerichtet haben, können Sie Clientfirewall-Zugriffsregeln für die Datenendpunkte aktivieren. Aktivieren Sie die Zugriffsregeln für den Datenendpunkt für alle erforderlichen Registrierungsregionen.

Konfigurieren von Clientfirewallregeln für MCR

Informationen zum Zugreifen auf die Microsoft Container Registry (MCR) von hinter einer Firewall finden Sie in den Anleitungen zum Konfigurieren von MCR-Clientfirewallregeln. MCR ist die primäre Registrierung für alle von Microsoft veröffentlichten Docker-Images, z. B. Windows Server-Images.

Nächste Schritte

  • Last updated on