git clone도커 빌드 내에서 개인 리포지토리 를 수행하고 싶지 않은 경우가 종종 있습니다. 복제를 수행하면 이미지에 비공개 ssh 자격 증명을 배치하여 나중에 이미지에 액세스 할 수있는 사람이 추출 할 수 있습니다.

대신 일반적인 CI 도구는 선택한 CI 도구의 도커 외부에서 git repo를 복제하고 단순히 COPY파일을 이미지 에 복제하는 것 입니다. 도커 캐싱이라는 두 번째 이점이 있습니다. Docker 캐싱은 실행중인 명령, 포함 된 환경 변수, 입력 파일 등을보고 동일한 상위 단계의 이전 빌드와 동일한 경우 해당 이전 캐시를 재사용합니다. A의 git clone고정 표시기 외부 자식 REPO 변경 되더라도 캐시를 재사용 할 수 있도록 명령을 명령 자체는 동일하다. 그러나 COPY명령은 빌드 컨텍스트에서 파일을보고 파일이 동일하거나 업데이트되었는지 확인할 수 있으며 적절한 경우에만 캐시를 사용합니다.

빌드에 신임 정보를 추가하려는 경우, 다단계 빌드로 수행하고 빌드 호스트 외부로 태그가 지정되지 않은 초기 단계에만 해당 신임 정보를 배치하십시오. 결과는 다음과 같습니다.

FROM ubuntu as clone

# Update aptitude with new repo
RUN apt-get update \
 && apt-get install -y git
# Make ssh dir
# Create known_hosts
# Add bitbuckets key
RUN mkdir /root/.ssh/ \
 && touch /root/.ssh/known_hosts \
 && ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts

# Copy over private key, and set permissions
# Warning! Anyone who gets their hands on this image will be able
# to retrieve this private key file from the corresponding image layer
COPY id_rsa /root/.ssh/id_rsa

# Clone the conf files into the docker container
RUN git clone git@bitbucket.org:User/repo.git

FROM ubuntu as release
LABEL maintainer="Luke Crooks <luke@pumalo.org>"

COPY --from=clone /repo /repo
...

가장 최근에 BuildKit은 이미지에 쓰지 않는 마운트로 ssh 키를 전달할 수있는 몇 가지 실험 기능을 테스트했습니다.

# syntax=docker/dockerfile:experimental
FROM ubuntu as clone
LABEL maintainer="Luke Crooks <luke@pumalo.org>"

# Update aptitude with new repo
RUN apt-get update \
 && apt-get install -y git

# Make ssh dir
# Create known_hosts
# Add bitbuckets key
RUN mkdir /root/.ssh/ \
 && touch /root/.ssh/known_hosts \
 && ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts

# Clone the conf files into the docker container
RUN --mount=type=secret,id=ssh_id,target=/root/.ssh/id_rsa \
    git clone git@bitbucket.org:User/repo.git

그리고 당신은 그것을 가지고 만들 수 있습니다 :

$ DOCKER_BUILDKIT=1 docker build -t your_image_name \
  --secret id=ssh_id,src=$(pwd)/id_rsa .

이를 위해서는 여전히 ssh 키가 비밀번호로 보호되어 있지 않아야하지만 최소한 단일 단계에서 빌드를 실행하여 COPY 명령을 제거하고 ssh 자격 증명이 이미지의 일부가되는 것을 피할 수 있습니다.

BuildKit은 또한 ssh 전용 기능을 추가하여 비밀번호로 보호 된 ssh 키를 계속 사용할 수있게했으며 결과는 다음과 같습니다.

# syntax=docker/dockerfile:experimental
FROM ubuntu as clone
LABEL maintainer="Luke Crooks <luke@pumalo.org>"

# Update aptitude with new repo
RUN apt-get update \
 && apt-get install -y git

# Make ssh dir
# Create known_hosts
# Add bitbuckets key
RUN mkdir /root/.ssh/ \
 && touch /root/.ssh/known_hosts \
 && ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts

# Clone the conf files into the docker container
RUN --mount=type=ssh \
    git clone git@bitbucket.org:User/repo.git

그리고 당신은 그것을 가지고 만들 수 있습니다 :

$ eval $(ssh-agent)
$ ssh-add ~/.ssh/id_rsa
(Input your passphrase here)
$ DOCKER_BUILDKIT=1 docker build -t your_image_name \
  --ssh default=$SSH_AUTH_SOCK .

다시 이미지 레이어에 쓰지 않고 빌드에 주입되어 자격 증명이 실수로 유출 될 위험을 제거합니다.

git clone이전 행이 캐시 된 경우에도도 커가 강제로 실행되도록하려면 각 빌드마다 변경되는 빌드 ARG를 삽입하여 캐시를 해제 할 수 있습니다. 다음과 같습니다.

# inject a datestamp arg which is treated as an environment variable and
# will break the cache for the next RUN command
ARG DATE_STAMP
# Clone the conf files into the docker container
RUN git clone git@bitbucket.org:User/repo.git

그런 다음 docker build 명령에 변경 arg를 주입하십시오.

date_stamp=$(date +%Y%m%d-%H%M%S)
docker build --build-arg DATE_STAMP=$date_stamp .

답변

RUN ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts \
    && eval `ssh-agent` \
    && ssh-add ~/.ssh/[key] \
    && git clone git@bitbucket.org:[team]/[repo].git