r - 无需专用端点的安全 ACI - 使用水管工和 R 的 docker 镜像

Question

我有一个 docker 镜像，它使用 Linux、R 和管道工，并且在推送到 ACR 并部署到 ACI 时工作正常。问题是，最终的端点可以通过互联网访问。它应该只能在我们的 DMZ(？)虚拟网络(？)内访问 - 对我笨拙/可能错误的术语使用表示歉意。因此，IT 创建了一个私有(private)端点，这对我来说很有意义，但根据此:

https://learn.microsoft.com/en-us/answers/questions/193123/azure-aci-with-private-acr-and-selected-public-net.html

另请参阅之前的相关帖子:

error whilst trying to deploy container image after introduction of private endpoint

ACI 目前不支持此功能？在我的场景中，还可以如何保护 ACI 端点？谢谢!

Answer 1

如果将 ACI 放入 VNet，则只能从该 VNet 访问 ACI，而无法从 Internet 访问。请参阅deploy ACI in the VNet 。但您需要知道 ACI 创建时，图像需要可从 Internet 访问。

如果您使用服务端点迁移 ACR，并且只能从 VNet 访问它，则无法通过从 ACR 拉取镜像来创建 ACI。参见说明here :

Instances of Azure services including Azure DevOps Services, Web Apps, and Azure Container Instances are also unable to access a network-restricted container registry.

如果您的目的是使 ACI 只能从 VNet 访问，请公开该镜像或从 Internet 访问该镜像，并将 ACI 删除到 VNet 中。