Konfigurowanie punktów końcowych rejestru

Wykresy przepływu danych i łącznik HTTP/REST używają punktów końcowych rejestru do ściągania modułów WebAssembly (WASM) i definicji grafów z rejestrów kontenerów. Operacje usługi Azure IoT ściągają wszystkie szablony łączników niestandardowych opracowywanych na podstawie rejestrów kontenerów. Możesz skonfigurować ustawienia punktu końcowego, uwierzytelnianie i inne ustawienia, aby nawiązać połączenie z usługą Azure Container Registry (ACR) lub innymi rejestrami zgodnymi z protokołem OCI, takimi jak:

• Docker Hub
• Port
• AWS Elastic Container Registry
• Google Container Registry

W przykładach w tym artykule pokazano, jak skonfigurować punkt końcowy rejestru przy użyciu usługi ACR.

Wymagania wstępne

• Wystąpienie usługi Azure IoT Operations w wersji 1.2 lub nowszej.
• Dostęp do rejestru kontenerów, takiego jak ACR.

Omówienie punktu końcowego rejestru

Punkt końcowy rejestru definiuje szczegóły połączenia i metodę uwierzytelniania na potrzeby uzyskiwania dostępu do rejestru kontenerów. Punkty końcowe rejestru są używane przez:

• Wykresy przepływu danych: aby ściągnąć moduły WASM i definicje grafu na potrzeby przetwarzania niestandardowego
• Łącznik HTTP/REST: aby ściągnąć moduły WASM i definicje grafu na potrzeby przetwarzania niestandardowego
• Łączniki Akri: aby ściągnąć szablony łączników niestandardowych

Punkty końcowe rejestru obsługują uwierzytelnianie za pośrednictwem:

• Zarządzana tożsamość przypisana przez system
• Tożsamość zarządzana przypisana użytkownikowi
• Wpisy tajne ściągania artefaktu (nazwa użytkownika i hasło)
• Dostęp anonimowy (w przypadku rejestrów publicznych)

Tworzenie punktu końcowego rejestru

Punkt końcowy rejestru definiuje połączenie z rejestrem kontenerów. Wykresy przepływu danych używają punktów końcowych rejestru do ściągania modułów WASM i definicji grafów z rejestrów kontenerów. Operacje Azure IoT używają punktów końcowych rejestru do pobierania szablonów łączników niestandardowych z rejestrów kontenerów. Punkt końcowy rejestru można utworzyć przy użyciu witryny Azure Portal, interfejsu wiersza polecenia platformy Azure, Bicep lub Kubernetes. Po utworzeniu punktu końcowego rejestru:

• Możesz użyć dowolnych wykresów przesłanych do rejestru kontenerów w doświadczeniu operacyjnym w wykresach przepływu danych.
• Możesz użyć dowolnych łączników niestandardowych, które przesłałeś do swojego rejestru kontenerów w środowisku operacyjnym, aby utworzyć przychodzące punkty końcowe urządzenia.

param aioInstanceName string = '<AIO_INSTANCE_NAME>'
param customLocationName string = '<CUSTOM_LOCATION_NAME>'
param registryEndpointName string = '<REGISTRY_ENDPOINT_NAME>'
param acrName string = '<YOUR_ACR_NAME>'

resource aioInstance 'Microsoft.IoTOperations/instances@2025-10-01' existing = {
  name: aioInstanceName
}

resource customLocation 'Microsoft.ExtendedLocation/customLocations@2021-08-31-preview' existing = {
  name: customLocationName
}

resource registryEndpoint 'Microsoft.IoTOperations/instances/registryEndpoints@2025-10-01-preview' = {
  parent: aioInstance
  name: registryEndpointName
  extendedLocation: {
    name: customLocation.id
    type: 'CustomLocation'
  }
  properties: {
    host: '${acrName}.azurecr.io'
    authentication: {
      method: 'SystemAssignedManagedIdentity'
      systemAssignedManagedIdentitySettings: {
        audience: 'https://management.azure.com/'
      }
    }
  }
}

az deployment group create --resource-group <RESOURCE_GROUP> --template-file <FILE>.bicep

apiVersion: connectivity.iotoperations.azure.com/v1beta1
kind: RegistryEndpoint
metadata:
  name: <REGISTRY_ENDPOINT_NAME>
  namespace: azure-iot-operations
spec:
  host: <YOUR_ACR_NAME>.azurecr.io
  authentication:
    method: SystemAssignedManagedIdentity
    systemAssignedManagedIdentitySettings:
      audience: https://management.azure.com/

kubectl apply -f <FILE>.yaml

Opcje konfiguracji

W tej sekcji opisano opcje konfiguracji dostępne dla punktów końcowych rejestru.

Host

Właściwość host określa nazwę hosta rejestru kontenerów. W przypadku usługi ACR użyj formatu <registry-name>.azurecr.io. Właściwość hosta obsługuje adresy URL HTTPS lub tylko nazwę hosta.

Przykłady:

• myregistry.azurecr.io
• https://myregistry.azurecr.io

Wzorzec: musi być zgodny ze wzorcem ^(https:\/\/)?[a-zA-Z0-9\-]+\.azurecr\.io$ usługi ACR.

Metody uwierzytelniania

Punkty końcowe rejestru obsługują kilka metod uwierzytelniania w celu bezpiecznego uzyskiwania dostępu do rejestrów kontenerów.

Zarządzana tożsamość przypisana przez system

Tożsamość zarządzana przypisana przez system używa wbudowanej tożsamości wystąpienia operacji usługi Azure IoT do uwierzytelniania w rejestrze. Użyj tego podejścia dla usługi ACR, ponieważ eliminuje potrzebę zarządzania poświadczeniami.

Przed skonfigurowaniem punktu końcowego rejestru upewnij się, że tożsamość zarządzana przypisana przez system operacji usługi Azure IoT ma niezbędne uprawnienia:

1. W portalu Azure przejdź do instancji Azure IoT Operations i wybierz opcję Przegląd.
2. Skopiuj nazwę rozszerzenia wymienioną po rozszerzeniu Azure IoT Operations Arc. Na przykład azure-iot-operations-xxxx7.
3. Przejdź do rejestru > kontenerów Kontrola dostępu (IAM)>Dodaj przypisanie roli.
4. Na karcie Rola wybierz pozycję AcrPull Rola.
5. Na karcie Członkowie w polu Przypisz dostęp do wybierz pozycję Użytkownik, grupa lub jednostka usługi, a następnie wybierz pozycję + Wybierz członków i wyszukaj nazwę rozszerzenia Arc operacji usługi Azure IoT. Wybierz rozszerzenie i wybierz pozycję Wybierz.
6. Wybierz Przejrzyj i przypisz, aby zakończyć przypisanie roli.

Poniższy fragment kodu przedstawia sposób konfigurowania uwierzytelniania tożsamości zarządzanej przypisanej przez system w pliku Bicep, który konfiguruje punkt końcowy rejestru:

authentication: {
  method: 'SystemAssignedManagedIdentity'
  systemAssignedManagedIdentitySettings: {
    audience: 'https://management.azure.com/'
    extensionName: null  // Optional: specific extension name
    tenantId: null       // Optional: specific tenant ID
  }
}

Ustawienia tożsamości zarządzanej przypisanej przez system:

Operator próbuje wywnioskować odbiorców z punktu końcowego, jeśli go nie podasz. W przypadku usługi ACR odbiorcy zazwyczaj https://management.azure.com/.

Tożsamość zarządzana przypisana użytkownikowi

Tożsamość zarządzana przypisana przez użytkownika umożliwia użycie określonej tożsamości zarządzanej utworzonej i skonfigurowanej przy użyciu niezbędnych uprawnień.

Przed skonfigurowaniem punktu końcowego rejestru upewnij się, że tożsamość zarządzana przypisana przez użytkownika ma AcrPull rolę w rejestrze kontenerów.

Poniższy fragment kodu pokazuje, jak skonfigurować uwierzytelnianie zarządzanej tożsamości przypisanej przez użytkownika w pliku Bicep, który konfiguruje punkt końcowy rejestru:

authentication: {
  method: 'UserAssignedManagedIdentity'
  userAssignedManagedIdentitySettings: {
    clientId: '<CLIENT_ID>'
    tenantId: '<TENANT_ID>'
    scope: null  // Optional: specific scope
  }
}

Ustawienia tożsamości zarządzanej przypisanej przez użytkownika:

Operator próbuje wywnioskować zakres z punktu końcowego, jeśli go nie podasz.

Klucz tajny ściągania artefaktu

Sekrety pobierania artefaktów umożliwiają używanie uwierzytelniania za pomocą nazwy użytkownika i hasła dla rejestrów, które nie obsługują uwierzytelniania za pomocą zarządzanej tożsamości.

Najpierw utwórz tajny zasób Kubernetes zawierający dane uwierzytelniające do rejestru:

kubectl create secret docker-registry my-registry-secret \
  --docker-server=myregistry.azurecr.io \
  --docker-username=<USERNAME> \
  --docker-password=<PASSWORD> \
  -n azure-iot-operations

Poniższy fragment kodu pokazuje, jak skonfigurować uwierzytelnianie sekretem pobierania artefaktu w pliku Bicep, który konfiguruje punkt końcowy rejestru.

authentication: {
  method: 'ArtifactPullSecret'
  artifactPullSecretSettings: {
    secretRef: 'my-registry-secret'
  }
}

Uwierzytelnianie anonimowe

Uwierzytelnianie anonimowe jest używane w publicznych rejestrach, które nie wymagają uwierzytelniania.

Poniższy fragment kodu przedstawia sposób konfigurowania uwierzytelniania anonimowego w pliku Bicep, który konfiguruje punkt końcowy rejestru:

authentication: {
  method: 'Anonymous'
  anonymousSettings: {}
}

Integracja usługi Azure Container Registry

Usługa ACR jest zalecanym rejestrem kontenerów dla operacji usługi Azure IoT. Usługa ACR zapewnia bezpieczne, prywatne rejestry kontenerów platformy Docker ze zintegrowanym uwierzytelnianiem za pośrednictwem identyfikatora Entra firmy Microsoft (Entra ID).

Wymagania wstępne dotyczące usługi ACR

1. Utwórz wystąpienie usługi ACR: jeśli go nie masz, utwórz wystąpienie usługi ACR w ramach subskrypcji.
2. Konfigurowanie uprawnień: Upewnij się, że tożsamość zarządzana operacji usługi Azure IoT ma AcrPull uprawnienia do rejestru.
3. Artefakty wypychania: przekaż moduły WASM i definicje grafu do rejestru przy użyciu narzędzi, takich jak interfejs wiersza polecenia ORAS.

Inne rejestry kontenerów

Punkty końcowe rejestru obsługują również inne rejestry kontenerów zgodne z protokołem OCI, takie jak:

• Docker Hub
• Port
• Usługa AWS Elastic Container Registry (ECR)
• Google Container Registry (GCR)

W przypadku tych rejestrów zazwyczaj do uwierzytelniania są używane wpisy tajne ściągania artefaktów, chyba że obsługują one tożsamość zarządzaną platformy Azure.

Dalsze kroki

• Używanie zestawu WebAssembly (WASM) z wykresami przepływu danych
• Konfigurowanie punktów końcowych przepływu danych
• Konfigurowanie profilów przepływu danych