Azure コンテナーレジストリを別のリージョンに移動する

[アーティクル]
08/02/2024

この記事では、Azure Container Registry リソースを Active Directory テナントの同じサブスクリプション内の別のリージョンに再配置する方法について説明します。

Note

複数の Azure リージョンに同じコンテナーイメージを配布する必要がある場合、Azure Container Registry では geo レプリケーションもサポートされます。レジストリの geo レプリケーション (Premium サービスレベルが必要) を行うと、1 つのレジストリに含まれる同一のイメージとタグ名を、複数のリージョンで使用できます。

前提条件

レジストリを再配置できるのは、同じ Active Directory テナント内のみです。この制限は、カスタマーマネージドキーを使用して暗号化されているレジストリと暗号化されていないレジストリに適用されます。
ソースレジストリで可用性ゾーンが有効な場合、ターゲットリージョンも可用性ゾーンをサポートしている必要があります。 Azure Container Registry の可用性ゾーンのサポートの詳細については、Azure Container Registry でゾーン冗長を有効にする方法に関する記事を参照してください。

サービスエンドポイントに関する考慮事項

Azure Container Registry の仮想ネットワークサービスエンドポイントは、指定した仮想ネットワークへのアクセスを制限します。エンドポイントは、IPv4 (インターネットプロトコルバージョン 4) アドレス範囲のリストへのアクセスを制限することもできます。ユーザーがこのようなソース以外からレジストリに接続しようとすると、アクセスを拒否されます。レジストリリソースのソースリージョンでサービスエンドポイントが構成されている場合は、ターゲットリージョンでも同じ手順を実行する必要があります。このシナリオの手順を次に示します。

ターゲットリージョンでレジストリを正常に再作成するには、VNet とサブネットを事前に作成する必要があります。 Azure Resource Mover ツールを使用してこれら 2 つのリソースを移動している場合、サービスエンドポイントは自動的に構成されないため、手動で構成する必要があります。
次に、Azure Container Registry の IaC に変更を加える必要があります。 networkAcl セクションの virtualNetworkRules で、ターゲットサブネットの規則を追加します。ターゲットリージョンでサービスエンドポイントが構成されていない場合に、IaC が Azure Container Registry のデプロイに失敗するように、ignoreMissingVnetServiceEndpoint フラグが False に設定されていることを確認します。これにより、ターゲットリージョンの前提条件を確実に満たすことができます

プライベートエンドポイントに関する考慮事項

Azure Private Link を使用すると、仮想ネットワークから Azure のサービスとしてのプラットフォーム (PaaS)、お客様が所有するサービス、または Microsoft パートナーのサービスへのプライベート接続が可能になります。 Private Link がネットワークアーキテクチャを簡素化し、パブリックインターネットへのデータの公開をなくすことで Azure のエンドポイント間の接続をセキュリティで保護します。

ターゲットリージョンでリソースを正常に再作成するには、実際に再作成が発生する前に VNet とサブネットを作成する必要があります。

Azure プライベートエンドポイントの DNS 統合に関する考慮事項

プライベートエンドポイントの IP アドレスを接続文字列の完全修飾ドメイン名 (FQDN) に解決するように、DNS 設定を正しく構成する必要があります。

既存の Microsoft Azure サービスには、パブリックエンドポイント用の DNS 構成が既に存在している場合があります。プライベートエンドポイントを使用して接続するには、この構成をオーバーライドする必要があります。

プライベートエンドポイントに関連付けられているネットワークインターフェイスには、DNS を構成するための情報が含まれています。ネットワークインターフェイスの情報には、プライベートリンクリソースの FQDN とプライベート IP アドレスが含まれています。

次のオプションを使用して、プライベートエンドポイントの DNS 設定を構成できます。

ホストファイルを使用する (テストにのみ推奨)。 仮想マシン上のホストファイルを使用して、DNS をオーバーライドすることができます。
プライベート DNS ゾーンを使用する。 プライベート DNS ゾーンを使用して、プライベートエンドポイントの DNS 解決をオーバーライドすることができます。プライベート DNS ゾーンを自分の仮想ネットワークにリンクして、特定のドメインを解決することができます。
DNS フォワーダーを使用する (オプション)。 DNS フォワーダーを使用して、プライベートリンクリソースの DNS 解決をオーバーライドすることができます。仮想ネットワークでホストされている DNS サーバーでプライベート DNS ゾーンを使用する DNS 転送規則を作成します。

Azure Container Registry は、Premium レベルを使用し、ターゲットリージョンで構成する必要があります。
レジストリへの公衆ネットワークアクセスが無効になっている場合、Azure Security Center を含む特定の信頼されたサービスによるレジストリアクセスのためには、ネットワーク設定でのネットワークルールのバイパスを有効にする必要があります。
レジストリに承認されたプライベートエンドポイントが含まれ、かつ公衆ネットワークアクセスが無効になっている場合、Azure portal、Azure CLI、またはその他のツールを使用してリポジトリやタグを仮想ネットワークの外部で一覧表示することはできません。
新しいレプリカの場合は、ターゲットリージョンのデータエンドポイントに新しい DNS レコードを手動で追加する必要があります。

ダウンタイム

発生の可能性のあるダウンタイムを理解するには、「Azure 向けのクラウド導入フレームワーク: 再配置方法を選択する」を参照してください。

準備

Note

クライアント固有のデータを保持せず、単独で移動するコンテナーレジストリのみを再配置する場合は、Bicep または JSON を使用してレジストリを再デプロイするだけで済みます。

他の可用性構成テンプレートを確認するには、「Bicep、ARM テンプレート、Terraform AzAPI プロバイダーを使用してリソースを定義する」を参照してください

データ移行を伴う再配置を準備するには:

レジストリで使用されるすべての Azure サービスを含む依存関係マップを作成します。再配置の対象となるサービスについては、適切な再配置戦略を選択する必要があります。
ファイアウォールやネットワークの分離など、Azure Container Registry (ACR) のソースネットワークレイアウトを特定します。
ターゲットレジストリへのインポートに必要なイメージをソースレジストリから取得します。イメージを取得するには、次のコマンドを実行します。
```
Get-AzContainerRegistryRepository -RegistryName registry
```
ACR タスクを使用して、ターゲットレジストリにインポートするソースレジストリの自動化構成を取得します。

テンプレートをエクスポートする

まず、Resource Manager テンプレートをエクスポートします。このテンプレートには、コンテナーレジストリを表す設定が含まれています。エクスポートされたテンプレートの使用方法の詳細については、「[Azure portal からエクスポートされたテンプレートを使用する](../azure-resource-manager/templates/template-tutorial-Azure portal e.md)」とテンプレートリファレンスのページを参照してください。

Azure portal で、お使いのソースレジストリに移動します。
メニューの [オートメーション] で、 [テンプレートのエクスポート]>[ダウンロード] を選択します。
ポータルからダウンロードした .zip ファイルを見つけて、選択したフォルダーにそのファイルを解凍します。

この zip ファイルには、テンプレートとテンプレートをデプロイするためのスクリプトから構成される .json ファイルが含まれています。

テンプレートを変更する

ダウンロードしたテンプレート JSON ファイル内のレジストリプロパティを調べ、必要な変更を行います。少なくとも以下を実行します。

レジストリ名の defaultValue をターゲットレジストリの目的の名前に変更する
location をターゲットレジストリの目的の Azure リージョンに更新する

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "registries_myregistry_name": {
            "defaultValue": "myregistry",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.ContainerRegistry/registries",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('myregistry_name')]",
            "location": "centralus",
        ...
        }
    ]
}

Registry scopeMaps、レプリケーション構成、診断設定 (ログ分析など) など、ダウンロードしたテンプレート内のすべての関連リソースの詳細を確認します。
ソースレジストリが暗号化されている場合は、カスタマーマネージドキーを使用してターゲットレジストリを暗号化し、必要なマネージド ID、キーコンテナー、キーの設定でテンプレートを更新します。カスタマーマネージドキーは、レジストリをデプロイするときにのみ有効にできます。

リソースグループの作成

az group create コマンドを使用して、ターゲットレジストリのリソースグループを作成します。次の例では、myResourceGroup という名前のリソースグループを eastus に作成します。

az group create --name myResourceGroup --location eastus

Redeploy

テンプレートを使用してターゲットレジストリをデプロイするには、az deployment group create コマンドを使用します。

az deployment group create --resource-group myResourceGroup \
   --template-file template.json --name mydeployment

Note

デプロイ中にエラーが発生した場合は、テンプレートファイル内での特定の構成の更新と、コマンドの再試行が必要になる可能性があります。

ターゲットレジストリにレジストリコンテンツをインポートする

ターゲットリージョンにレジストリを作成した後、次の手順を実行します。

az acr import コマンドまたは同等の PowerShell コマンド Import-AzContainerImage を使用して、保持するイメージやその他の成果物をソースレジストリからターゲットレジストリにインポートします。コマンドの例については、「コンテナーレジストリにコンテナーイメージをインポートする」を参照してください。
Azure CLI コマンド az acr repository list および az acr repository tags、または Azure PowerShell の同等のコマンドを使用すると、ご自身のソースレジストリのコンテンツを列挙できます。
個々の成果物に対してインポートコマンドを実行するか、成果物の一覧に対してコマンドが実行されるようにスクリプトを作成します。

次のサンプル Azure CLI スクリプトでは、ソースリポジトリとタグが列挙されて、成果物が同じ Azure サブスクリプションのターゲットレジストリにインポートされます。必要に応じて、特定のリポジトリまたはタグをインポートします。異なるサブスクリプションまたはテナント内のレジストリからインポートするには、「コンテナーレジストリにコンテナーイメージをインポートする」の例を参照してください。

#!/bin/bash
# Modify registry names for your environment
SOURCE_REG=myregistry
TARGET_REG=targetregistry

# Get list of source repositories
REPO_LIST=$(az acr repository list \
    --name $SOURCE_REG --output tsv)

# Enumerate tags and import to target registry
for repo in $REPO_LIST; do
    TAGS_LIST=$(az acr repository show-tags --name $SOURCE_REG --repository $repo --output tsv);
    for tag in $TAGS_LIST; do
        echo "Importing $repo:$tag";
        az acr import --name $TARGET_REG --source $SOURCE_REG.azurecr.io/$repo":"$tag;
    done
done

診断設定のログ分析ワークスペースなどの依存リソースをターゲットの Azure Container Registry に関連付けます。
次のコマンドを実行して、プロビジョニング済みまたはプロビジョニングされていない両方の種類の AKS クラスターと Azure Container Registry との統合を構成します。


Set-AzAksCluster -Name myAKSCluster -ResourceGroupName myResourceGroup -AcrNameToAttach <acr-name>

Kubernetes マニフェストファイルに必要な変更を加えて、再配置された Azure Container Registry (ACR) と統合します。
ソースレジストリではなくターゲットレジストリを使用するように、開発システムとデプロイシステムを更新します。
ターゲットレジストリへのアクセスを許可するように、すべてのクライアントファイアウォール規則を更新します。

確認

お使いのターゲットレジストリ内で、次の情報を確認します。

レジストリ名、サービスレベル、パブリックアクセス、レプリケーションなどのレジストリ設定
保持するコンテンツのリポジトリとタグ。

元のレジストリを削除する

ターゲットレジストリ、移行されたコンテンツ、検証済みレジストリ設定を適切にデプロイしたら、ソースレジストリを削除することができます。

レジストリリソースを同じサブスクリプションまたは [新しいサブスクリプション] 内の新しいリソースグループに移動するには、「Azure リソースを新しいリソースグループまたはサブスクリプションに移動する」を参照してください。

パブリックレジストリや別のプライベートレジストリから Azure コンテナーレジストリへのコンテナーイメージのインポートについて学習する。
Azure Container Registry の Resource Manager テンプレートのリファレンスを確認する。

次の方法で共有

Azure コンテナーレジストリを別のリージョンに移動する

前提条件

サービスエンドポイントに関する考慮事項

プライベートエンドポイントに関する考慮事項

Azure プライベートエンドポイントの DNS 統合に関する考慮事項

ダウンタイム

準備

テンプレートをエクスポートする

テンプレートを変更する

リソースグループの作成

Redeploy

ターゲットレジストリにレジストリコンテンツをインポートする

確認

元のレジストリを削除する

フィードバック

その他のリソース

次の方法で共有

Azure コンテナー レジストリを別のリージョンに移動する

前提条件

サービス エンドポイントに関する考慮事項

プライベート エンドポイントに関する考慮事項

Azure プライベート エンドポイントの DNS 統合に関する考慮事項

ダウンタイム

準備

テンプレートをエクスポートする

テンプレートを変更する

リソース グループの作成

Redeploy

ターゲット レジストリにレジストリ コンテンツをインポートする

確認

元のレジストリを削除する

関連するコンテンツ

フィードバック

その他のリソース

Azure コンテナーレジストリを別のリージョンに移動する

サービスエンドポイントに関する考慮事項

プライベートエンドポイントに関する考慮事項

Azure プライベートエンドポイントの DNS 統合に関する考慮事項

リソースグループの作成

ターゲットレジストリにレジストリコンテンツをインポートする