成果物を別のレジストリに転送する

[アーティクル]
10/16/2024

この記事では、イメージまたはその他のレジストリ成果物のコレクションを 1 つの Azure コンテナーレジストリから別のレジストリに転送する方法について説明します。ソースレジストリとターゲットレジストリは、同じサブスクリプションまたは異なるサブスクリプション、Active Directory テナント、Azure クラウド、または物理的に切断されたクラウドに存在する可能性があります。

成果物を転送するには、BLOB ストレージを使用して、2 つのレジストリ間で成果物をレプリケートする "転送パイプライン" を作成します。

ソースレジストリの成果物が、ソースストレージアカウントの BLOB にエクスポートされます。
BLOB が、ソースストレージアカウントからターゲットストレージアカウントにコピーされます。
ターゲットストレージアカウント内の BLOB が、ターゲットレジストリに成果物としてインポートされます。ターゲットストレージで成果物 BLOB が更新されるたびにトリガーされるように、インポートパイプラインを設定できます。

この記事では、転送パイプラインを作成して実行するための前提条件となるリソースを作成します。 Azure CLI は、ストレージシークレットなど、関連付けられているリソースをプロビジョニングするために使用されます。 Azure CLI バージョン 2.2.0 以降が推奨されます。 CLI をインストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。

この機能は、Premium コンテナーレジストリサービスレベルで使用できます。レジストリサービスのレベルと制限については、Azure Container Registry のレベルに関するページを参照してください。

重要

現在、この機能はプレビュー段階にあります。プレビュー版は、追加使用条件に同意することを条件に使用できます。この機能の一部の側面は、一般公開 (GA) 前に変更される可能性があります。

ユースケースを考える

転送は、物理的に切断されたクラウド内の 2 つの Azure コンテナーレジストリ間で、各クラウドのストレージアカウントによって仲介されるコンテンツのコピーに最適です。そうではなく、Docker Hub などのクラウドベンダーを含め、接続されたクラウド内のコンテナーレジストリからイメージをコピーする場合は、イメージインポートを使用することをお勧めします。

前提条件

コンテナーレジストリ - 転送する成果物を含む既存のソースレジストリと、ターゲットレジストリが必要です。 ACR 転送は、物理的に切断されたクラウド間での移動を目的としています。テストの場合、ソースレジストリとターゲットレジストリは、同じまたは異なる Azure サブスクリプション、Active Directory テナント、またはクラウドに存在する可能性があります。

レジストリを作成する必要がある場合は、「クイックスタート: Azure CLI を使用したプライベートコンテナーレジストリの作成」を参照してください。
ストレージアカウント - サブスクリプション内および任意の場所にソースストレージアカウントとターゲットストレージアカウントを作成します。テスト目的では、ソースレジストリおよびターゲットレジストリと同じ 1 つまたは複数のサブスクリプションを使用できます。クロスクラウドのシナリオでは、通常、各クラウドに個別のストレージアカウントを作成します。

必要に応じて、Azure CLI またはその他のツールでストレージアカウントを作成します。

各アカウントで成果物転送用の BLOB コンテナーを作成します。たとえば、transfer という名前のコンテナーを作成します。
キーコンテナー - ソースストレージアカウントとターゲットストレージアカウントへのアクセスに使用される SAS トークンシークレットを格納するには、キーコンテナーが必要です。ソースレジストリおよびターゲットレジストリと同じ 1 つまたは複数の Azure サブスクリプションに、ソースキーコンテナーとターゲットキーコンテナーを作成します。デモンストレーションの目的で、この記事で使用されているテンプレートとコマンドでも、ソースとターゲットの各キーコンテナーは、それぞれソースとターゲットの各レジストリと同じリソースグループにあることを前提としています。この共通のリソースグループの使用は必須ではありませんが、この記事で使用するテンプレートとコマンドが簡単になります。

必要に応じて、Azure CLI またはその他のツールを使用してキーコンテナーを作成します。
環境変数 - この記事のコマンド例では、ソース環境とターゲット環境に対して次の環境変数を設定します。すべての例は、Bash シェル用に書式設定されています。
```
SOURCE_RG="<source-resource-group>"
TARGET_RG="<target-resource-group>"
SOURCE_KV="<source-key-vault>"
TARGET_KV="<target-key-vault>"
SOURCE_SA="<source-storage-account>"
TARGET_SA="<target-storage-account>"
```

シナリオの概要

レジストリ間のイメージ転送用に、次の 3 つのパイプラインリソースを作成します。すべて PUT 操作を使用して作成されます。これらのリソースは、"ソース" と "ターゲット" のレジストリおよびストレージアカウントで動作します。

ストレージ認証では、キーコンテナーのシークレットとして管理される SAS トークンが使用されます。パイプラインでは、マネージド ID を使用してコンテナー内のシークレットが読み取られます。

ExportPipeline - "ソース" レジストリおよびストレージアカウントに関する概要情報を含む長期間のリソース。この情報には、ソースストレージ BLOB コンテナーの URI と、ソース SAS トークンを管理するキーコンテナーが含まれます。
ImportPipeline - "ターゲット" レジストリおよびストレージアカウントに関する概要情報を含む長期間のリソース。この情報には、ターゲットストレージ BLOB コンテナーの URI と、ターゲット SAS トークンを管理するキーコンテナーが含まれます。インポートトリガーは既定で有効になっているため、成果物 BLOB がターゲットストレージコンテナーに格納されるときに、パイプラインが自動的に実行されます。
PipelineRun - ExportPipeline リソースまたは ImportPipeline リソースを呼び出すために使用されるリソース。
- ExportPipeline を手動で実行するには、PipelineRun リソースを作成し、エクスポートする成果物を指定します。
- インポートトリガーが有効になっている場合、ImportPipeline は自動的に実行されます。また、PipelineRun を使用して手動で実行することもできます。
- 現時点では、PipelineRun ごとに最大 50 個の成果物を転送できます。

注意事項

ExportPipeline と ImportPipeline は、通常、ソースクラウドとターゲットクラウドに関連付けられている異なる Active Directory テナントにあります。このシナリオでは、リソースのエクスポートとインポート用に個別のマネージド ID とキーコンテナーが必要です。テスト目的では、これらのリソースを同じクラウドに配置し、ID を共有することができます。
既定では、ExportPipeline および ImportPipeline の各テンプレートによって、システム割り当てマネージド ID を使用してキーコンテナーのシークレットにアクセスできるようになります。 ExportPipeline および ImportPipeline テンプレートでは、ユーザー割り当て ID もサポートされています。

SAS キーを作成して格納する

転送では、共有アクセス署名 (SAS) トークンを使用して、ソース環境とターゲット環境のストレージアカウントにアクセスします。次のセクションで説明するように、トークンを生成して格納します。

重要

ACR 転送は、Key Vault のシークレットに格納された手動生成された SAS トークンを使用して動作しますが、運用環境のワークロードでは、代わりに Key Vault で管理されたストレージ SAS 定義シークレットを使用することを強くお勧めします。

エクスポート用に SAS トークンを生成する

az storage container generate-sas コマンドを実行して、ソースストレージアカウントで、成果物のエクスポートに使用されるコンテナーの SAS トークンを生成します。

推奨されるトークンアクセス許可:読み取り、書き込み、一覧表示、追加。

次の例では、コマンド出力は、"?" 文字で始まる EXPORT_SAS 環境変数に割り当てられています。環境の --expiry 値を更新します。

EXPORT_SAS=?$(az storage container generate-sas \
  --name transfer \
  --account-name $SOURCE_SA \
  --expiry 2021-01-01 \
  --permissions alrw \
  --https-only \
  --output tsv)

エクスポート用に SAS トークンを格納する

az keyvault secret set を使用して、ソース Azure キーコンテナーに SAS トークンを格納します。

az keyvault secret set \
  --name acrexportsas \
  --value $EXPORT_SAS \
  --vault-name $SOURCE_KV

インポート用に SAS トークンを生成する

az storage container generate-sas コマンドを実行して、ターゲットストレージアカウントで、成果物のインポートに使用されるコンテナーの SAS トークンを生成します。

推奨されるトークンアクセス許可:読み取り、削除、一覧表示

次の例では、コマンド出力は、"?" 文字で始まる IMPORT_SAS 環境変数に割り当てられています。環境の --expiry 値を更新します。

IMPORT_SAS=?$(az storage container generate-sas \
  --name transfer \
  --account-name $TARGET_SA \
  --expiry 2021-01-01 \
  --permissions dlr \
  --https-only \
  --output tsv)

インポート用に SAS トークンを格納する

az keyvault secret set を使用して、ターゲット Azure キーコンテナーに SAS トークンを格納します。

az keyvault secret set \
  --name acrimportsas \
  --value $IMPORT_SAS \
  --vault-name $TARGET_KV

次のステップ

ご自分の ACR 転送のリソースを作成するには、以下のいずれかのチュートリアルに従います。自動化されていないほとんどのユースケースでは、Az CLI 拡張機能を使用することをお勧めします。
- Az CLI を使用した ACR 転送
- ARM テンプレートを使用した ACR 転送

次の方法で共有