Azure

Azure Container Registry (ACR)

Allgemeine Infos

Azure Container Registry (ACR) speichert Container-Images und weitere OCI-Artefakte wie Helm-Charts in einer privaten Registry unter <name>.azurecr.io. Dienste wie AKS, App Service, Container Apps, Azure Batch oder Pipelines ziehen Images direkt aus der Registry.

Die Tarife unterscheiden sich laut Microsoft vor allem bei Speicher und Funktionen: Basic enthält 10 GiB, Standard 100 GiB, Premium 500 GiB. Nur Premium bietet Georeplikation, Private Link mit Private Endpoints, kundenseitig verwaltete Schlüssel und Connected Registries für lokale oder Edge-Standorte. Zonenredundanz ist in unterstützten Regionen für alle Tarife standardmäßig aktiv.

Wichtige Änderung: Docker Content Trust (DCT) wird abgekündigt. Seit 31. Mai 2026 lässt sich DCT für Registries, die es bisher nicht genutzt haben, nicht mehr aktivieren, am 31. März 2028 wird es vollständig entfernt. Nachfolger ist die Signatur nach Notary Project. Abgrenzung: Docker Hub und GitHub Container Registry sind öffentliche oder externe Registries, ACR bleibt im eigenen Azure-Tenant mit Entra-ID-Zugriff.

Funktionsweise & Details

Arbeitsweise und Funktionen:

  1. Anmeldung per „az acr login“ oder „docker login“, danach Push und Pull wie bei jeder Docker-Registry.
  2. Zugriff über Microsoft Entra ID: Benutzer, Service Principals oder Managed Identities erhalten Rollen wie AcrPull oder AcrPush. Das Admin-Konto mit festem Kennwort ist optional und sollte deaktiviert bleiben.
  3. ACR Tasks bauen Images in Azure, ausgelöst durch Git-Commits, Änderungen am Basis-Image oder Zeitpläne, auch mehrstufig mit Tests.
  4. Georeplikation (Premium) hält Kopien in mehreren Regionen, sodass Cluster aus der nächsten Replik ziehen.
  5. Microsoft Defender for Cloud scannt Images optional beim Push auf Schwachstellen.
  6. Aufbewahrungs- und Bereinigungsregeln entfernen ungetaggte oder alte Images.

Ein Wechsel zwischen Tarifen ist jederzeit möglich, solange die Datenmenge in den Zieltarif passt. Vor einem Downgrade von Premium müssen Georeplikationen und Connected Registries entfernt werden.

Vorteile & Nutzen

  • Images liegen im eigenen Tenant und sind nur mit Entra-ID-Berechtigung erreichbar.
  • Geringe Latenz und kein Internetverkehr beim Pull aus derselben Region, besonders mit Private Endpoint.
  • ACR Tasks automatisieren Builds und das Nachbauen bei Updates des Basis-Images, was Sicherheitslücken schneller schließt.
  • Georeplikation unterstützt Multi-Region-Architekturen ohne eigene Synchronisation.

Praxisbeispiel

Ein Softwareanbieter für Kassensysteme mit 110 Mitarbeitenden liefert seine Backend-Dienste als Container auf AKS aus. Images lagen bisher in einem privaten Docker-Hub-Konto mit gemeinsam genutztem Token. Die IT richtet eine ACR Premium mit Private Endpoint ein, AKS erhält per Managed Identity die Rolle AcrPull, ACR Tasks bauen bei jedem Merge in den Hauptzweig neue Images und Defender for Cloud meldet Schwachstellen. Das geteilte Token entfällt, und neue Images sind nur noch aus dem eigenen Netz abrufbar.

Worauf sollte man achten?

  • Deaktiviere das Admin-Konto und nutze Managed Identities oder Service Principals mit AcrPull und AcrPush.
  • Wähle den Tarif nach Funktionen: Private Endpoints und Georeplikation gibt es nur mit Premium.
  • Räume alte und ungetaggte Images per Bereinigungsregel auf, weil Speicher über dem Inklusivvolumen extra kostet.
  • Setze für neue Signaturen auf Notary Project statt Docker Content Trust und plane die Umstellung bestehender DCT-Pipelines vor März 2028.
  • Deaktiviere DCT nicht vorschnell als Aufräumschritt: Laut Microsoft löscht das Abschalten alle Vertrauensdaten unwiderruflich.

Lizenz & Verfügbarkeit

Abrechnung über das Azure-Abonnement pro Registry und Tag nach Tarif (Basic, Standard, Premium) mit inklusivem Speicher, zusätzlicher Speicher pro GB, ACR Tasks nach Build-Minuten, Georeplikationen pro Replik, ausgehender Datenverkehr. Docker Content Trust: Neuaktivierung seit 31. Mai 2026 gesperrt, vollständige Entfernung am 31. März 2028. Stand: Oktober 2026.

Fazit

ACR ist die zentrale Ablage für Container-Images in Azure. Nutze Identitäten statt Admin-Konto, Premium bei Bedarf an privatem Zugriff und plane den Wechsel zu Notary-Project-Signaturen.

Weiterführende Links

Verwandte Artikel