Qual função concede a um usuário apenas as permissões necessárias para baixar imagens de um Azure Container Registry?

A função AcrPull concede permissões para extrair (baixar) imagens de um Azure Container Registry, que é o requisito exato da pergunta. É a função de privilégio mínimo necessária para essa operação. A função Reader permite apenas visualizar recursos, mas não extrair imagens. A função Contributor concede permissões para gerenciar todos os recursos, exceto atribuir funções, o que é um privilégio excessivo para apenas baixar imagens. A função AcrDelete permite excluir imagens e outros artefatos do registro, o que não está relacionado ao download.