在配置 Azure Kubernetes Service (AKS) 集群连接到 Azure Container Registry 时，您希望集群使用其自动生成的服务主体向注册表进行身份验证。您应该创建什么？

正确答案是“一个 Azure Active Directory (Azure AD) 角色分配”。当AKS集群需要从Azure Container Registry (ACR)拉取镜像时，它使用其托管身份（或服务主体）进行身份验证。为了让AKS集群的服务主体能够访问ACR，您需要为该服务主体分配适当的Azure AD角色，例如“AcrPull”角色。这个角色分配授权AKS集群从ACR中拉取镜像。 “一个 Azure Active Directory (Azure AD) 组”是用于管理用户和应用程序权限的集合，但它本身不直接授予访问权限，需要将角色分配给组。 “一个 Azure Active Directory (Azure AD) 用户”是个人账户，不适用于AKS集群的自动化身份验证。 “Azure Key Vault 中的一个密钥”用于存储密钥和凭据，但它不是用于授权AKS集群访问ACR的机制。