При настройке кластера Azure Kubernetes Service (AKS) для подключения к Azure Container Registry вы хотите, чтобы кластер использовал свой автоматически сгенерированный субъект-службу для аутентификации в реестре. Что следует создать?

Для того чтобы кластер AKS мог аутентифицироваться в Azure Container Registry с использованием своего автоматически сгенерированного субъекта-службы, необходимо предоставить этому субъекту-службе соответствующие разрешения. Это достигается путем создания назначения роли Azure Active Directory (Azure AD). Назначение роли связывает субъект-службу (субъект безопасности) с определенной ролью (набором разрешений) для ресурса (в данном случае, Azure Container Registry). Группа Azure AD, пользователь Azure AD или секрет в Azure Key Vault не предоставляют необходимых разрешений напрямую субъекту-службе AKS для доступа к реестру контейнеров. Группы используются для организации пользователей и субъектов-служб, пользователи — для интерактивного входа, а секреты в Key Vault — для безопасного хранения конфиденциальной информации, но ни один из этих вариантов сам по себе не является механизмом для предоставления разрешений на доступ к ресурсам Azure.