Azure Container Registry (ACR)

解決する課題

• コンテナイメージを社内・自分のアプリ専用に非公開で保管したい（公開レジストリに置けない）
• AKS / Container Apps / App Service / Functions などに素早く安全にイメージを配信したい
• イメージの取得にパスワードを埋め込みたくない（マネージド ID でパスワードレス認証したい）
• 複数リージョンの実行環境へ近い場所からイメージを配信して取得を高速化したい
• イメージに脆弱性がないか確認し、改ざんされていないことを保証したい

主要概念と用語

• レジストリ（Registry）: イメージを保管する単位。<名前>.azurecr.io という固有のログインサーバー名を持つ
• リポジトリ（Repository）: 同じイメージ名の集合。myapp のように名前空間を表す
• タグ（Tag）: リポジトリ内のバージョン識別子（例: myapp:1.0、myapp:latest）
• マニフェスト / レイヤー: イメージの実体。OCI 準拠で、Helm チャートや OCI アーティファクトも格納できる
• SKU（Basic / Standard / Premium）: 容量・スループット・機能差を表す価格レベル。地理レプリケーションやプライベートエンドポイントは Premium 限定
• ACR Tasks: クラウド側でイメージをビルド・テスト・パッチ適用する仕組み。ベースイメージ更新時の自動再ビルドも可能
• トークン / スコープマップ: リポジトリ単位できめ細かいアクセス権を与える仕組み
• マネージド ID 認証 / 管理者ユーザー: 認証手段。本番ではマネージド ID（パスワードレス）が推奨、管理者ユーザーは検証用途

仕様・制限・クォータ

• OCI および Docker V2 準拠のイメージを保管でき、Helm チャートなどの OCI アーティファクトにも対応する
• ストレージ容量・同時操作スループット・地理レプリケーションの可否は選んだ SKU によって異なる。大容量・高スループット・近接配信が要るほど上位 SKU を選ぶ
• 地理レプリケーションとプライベートエンドポイント、**コンテンツ信頼（署名）**は上位（Premium）でのみ利用できる
• イメージ数・タグ数自体に厳密な上限は設けられていないが、保管容量とスループットは SKU の枠内で扱う
• 不要なイメージを放置すると容量が増えるため、保持ポリシーやタグ削除で整理する運用が前提となる

内部の仕組み

ACR はリージョン内の冗長ストレージにイメージのレイヤーとマニフェストを保管し、docker pull / docker push と同じ標準プロトコルでアクセスできるマネージドサービスです。クライアントはまずログインサーバーに対して認証トークンを取得し、そのトークンでリポジトリ単位の操作（取得・書き込み・削除）を許可されます。

地理レプリケーションを有効にすると、1 つのレジストリが複数リージョンに複製され、利用者は同一のログインサーバー名のまま最も近いリージョンのコピーからイメージを取得します。これにより遠隔地からの取得遅延と下り転送コストを抑えられます。

ACR Tasks はクラウド側のビルド基盤で、ソースのコミットやベースイメージの更新を引き金にイメージを再ビルドし、レジストリへ格納します。ローカルに Docker を持たなくてもクラウドでビルドが完結します。

設計パターン / ベストプラクティス

• **本番認証はマネージド ID + RBAC（AcrPull）**で行い、管理者ユーザーは原則無効化する
• CI/CD はトークン + スコープマップで対象リポジトリだけに最小権限を与える
• イメージタグは latest 固定ではなく、コミットハッシュやバージョン番号で不変タグを付け、ロールバックを容易にする
• 複数リージョンに実行環境がある場合は地理レプリケーションで取得を高速化する
• ベースイメージの脆弱性対応は ACR Tasks の自動再ビルドで省力化する
• 保持ポリシーで古い未使用イメージを定期的に整理し、容量とコストを抑える

運用・監視

• イメージの取得・書き込み・削除や認証の状況は Azure Monitor / Log Analytics にメトリクスと診断ログとして集約してクエリする
• イメージが取得できない → AcrPull ロール割り当て、ログインサーバー名、ネットワーク（プライベートエンドポイント / ファイアウォール許可）を確認する
• 容量が増え続ける → 未使用タグの削除と保持ポリシー、不要なリポジトリの整理を行う
• レプリケーション先で古いイメージが見える → レプリケーションの同期状況とプッシュ先リージョンを確認する

コスト

セキュリティ

• **マネージド ID + Azure RBAC（AcrPull / AcrPush）**で資格情報を埋め込まずに最小権限アクセスを実現する（AWS の IAM ロール相当）
• 管理者ユーザーは共有パスワードになりやすいため本番では無効化し、検証用途に限定する
• ネットワークはプライベートエンドポイントやファイアウォール規則で公開範囲を絞る
• **コンテンツ信頼（署名）**でイメージの改ざんを検知し、信頼できるイメージだけを取得する
• Microsoft Defender for Containers と連携してイメージの脆弱性をスキャンする

Well-Architected の観点

• セキュリティ: パスワードレス認証（マネージド ID）、プライベートエンドポイント、コンテンツ信頼、脆弱性スキャンで、保管と配布の両面を保護する
• オペレーショナルエクセレンス: ACR Tasks による自動ビルド・自動パッチと保持ポリシーで、イメージのライフサイクル管理を仕組み化する
• 信頼性: 地理レプリケーションでリージョン障害時の取得経路を冗長化し、実行環境の起動を止めない
• コスト最適化: 要件に合った SKU 選定と保持ポリシー、近接配信による転送コスト抑制でムダを削る

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# リソースグループとレジストリを作成（名前はグローバルで一意・小文字）
az group create --name demo-rg --location japaneast
az acr create \
  --resource-group demo-rg \
  --name demoacr0627 \
  --sku Standard

# ログインしてイメージをプッシュ
az acr login --name demoacr0627
docker tag myapp:1.0 demoacr0627.azurecr.io/myapp:1.0
docker push demoacr0627.azurecr.io/myapp:1.0

# リポジトリとタグを確認
az acr repository list --name demoacr0627 -o table
az acr repository show-tags --name demoacr0627 --repository myapp -o table

# クラウド側でビルドしてそのまま格納（ローカル Docker 不要）
az acr build \
  --registry demoacr0627 \
  --image myapp:2.0 .

# AKS にマネージド ID 経由で ACR 取得権限を付与（パスワードレス）
az aks update \
  --resource-group demo-rg \
  --name demo-aks \
  --attach-acr demoacr0627