本文主要通过如何在 Docker Build 时使用 SSH 私钥进行认证，比如拉取私有仓库时就很有用。包括18.09版本之前的使用多阶段构建
方式，以及 18.09版本后的 --ssh
方式。
- 概述 在实际工作中，Build Docker 镜像时，经常碰上需要在 Docker 镜像内用到 SSH Private Key 的场景。比如构建镜像时要从 GitHub、GitLab 的私有库 Clone 代码，或者要安装私有库的 Gem、NPM Package 等。
而如果直接把自己的 SSH Private Key 打包到 Docker 镜像中的话，是存在很大安全风险的 。如何解决这个问题？
- 多阶段构建方式 通过参数将私钥传递到容器里，同时配合多阶段构建以解决直接把私钥打包进容器带来的安全风险。
使用多阶段构建，只要私钥不出现在最后一阶段，都是比较安全的，中间过程的镜像只会存放在本机，不会公开，因此问题也不大。
Dockerfile 如下：
分为三个阶段：
阶段一：拿到私钥并写入到/root/.ssh/id_rsa文件用于认证 阶段二：yarn build 阶段三：将编译好的产物 COPY 到 node 环境运行 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31
Stage 1: get sources from npm and git over ssh
FROM node:carbon AS sources
ARG SSH_KEY
ARG SSH_KEY_PASSPHRASE
RUN mkdir -p /root/.ssh &&
chmod 0700 /root/.ssh &&
ssh-keyscan bitbucket.org > /root/.ssh/known_hosts &&
echo ” { SSH_KEY } " > /root/.ssh/id_rsa && \
chmod 600 /root/.ssh/id_rsa
WORKDIR /app/
COPY package*.json yarn.lock /app/
RUN eval ` ssh-agent -s` && \
printf " { SSH_KEY_PASSPHRASE } \n” | ssh-add $HOME /.ssh/id_rsa &&
yarn —pure-lockfile —mutex file —network-concurrency 1 &&
rm -rf /root/.ssh/
Stage 2: build minified production code
FROM node:carbon AS production WORKDIR /app/ COPY —from= sources /app/ /app/ COPY . /app/ RUN yarn build:prod
Stage 3: include only built production files and host them with Node Express server
FROM node:carbon WORKDIR /app/ RUN yarn add express COPY —from= production /app/dist/ /app/dist/ COPY server.js /app/ EXPOSE 33330 CMD [ “node” , “server.js” ]
build 命令
1 2 3 4
docker build -t ezze/geoport:0.6.0
—build-arg SSH_KEY = ” $( cat ~/.ssh/id_rsa) ”
—build-arg SSH_KEY_PASSPHRASE = “my_super_secret”
./
- SSH mount type
同时 Docker 在
18.09
版本后，推出了 BuildKit 的 SSH mount type ，我们也可以用这个特性来解决该问题。
Enable BuildKit 由于是 BuildKit 的特性，因此需要设置这个环境来开启 BuildKit
1
export DOCKER_BUILDKIT = 1
或者修改 /etc/docker/daemon.json 文件并重启 docker 服务永久开启 BuildKit，添加内容如下所示：
1 2 3 4 5
{ “features” : { “buildkit” : true } }
Dockerfile 修改 首先需要在 Dockerfile 首行开启特性：
1
syntax=docker/dockerfile:1
这句话意思是用 docker/dockerfile:1
这个镜像来解析 Dockerfile
然后添加下面的内容，下载对应网站的公钥：
1 2
Download public key for github.com
RUN —mount= type = ssh mkdir -p -m 0700 ~/.ssh && ssh-keyscan github.com >> ~/.ssh/known_hosts
注意替换域名
然后，在 Dockerfile 中需要使用 SSH Private Key 的地方都加上--mount=type=ssh
这个 flag 指定该命令运行时有权限访问对应的 ssh 私钥，即：其他没有指定的命令是无法使用该私钥的。
比如 go 下载依赖就像这样：
1
RUN —mount= type = ssh go mod download
比如，Rails 项目安装有私有库的 Gem 包时，就写成这样：
1
RUN —mount= type = ssh bundle install
Docker build 命令
然后 docker build 时通过 --ssh
指定私钥：
1
docker build -f Dockerfile -t helloworld:1.0.0 . —ssh default = /root/.ssh/id_rsa
这种方式，既能正常使用上 SSH Private Key，又能使其在镜像中不留痕迹。完美！
完整版 完整 Dockerfile 内容如下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34
syntax=docker/dockerfile:1
Build the manager binary
FROM golang:1.19 as builder ARG TARGETOS ARG TARGETARCH ENV GOPROXY = https://goproxy.cn WORKDIR /workspace
Copy the go source
COPY . /workspace
Download public key for github.com
RUN —mount= type = ssh mkdir -p -m 0700 ~/.ssh && ssh-keyscan github.com >> ~/.ssh/known_hosts
cache deps before building and copying source so that we don’t need to re-download as much
and so that source changes don’t invalidate our downloaded layer
RUN —mount= type = ssh go mod download
Build
the GOARCH has not a default value to allow the binary be built according to the host where the command
was called. For example, if we call make docker-build in a local env which has the Apple Silicon M1 SO
the docker BUILDPLATFORM arg will be linux/arm64 when for Apple x86 it will be linux/amd64. Therefore,
by leaving it empty we can ensure that the container and binary shipped on it will have the same platform.
RUN CGO_ENABLED = 0 GOOS = { TARGETARCH } go build -a -o manager main.go
Use distroless as minimal base image to package the manager binary
Refer to https://github.com/GoogleContainerTools/distroless for more details
FROM gcr.io/distroless/static:nonroot WORKDIR / COPY —from= builder /workspace/manager . USER 65532:65532 ENTRYPOINT [ “/manager” ]
使用以下命令进行构建：
1
docker build -t ${ IMG } . —ssh default = ~/.ssh/id_rsa
FAQ 关闭 SSH 严格模式
在测试时出现以下错误：
1 2
#0 0.831 Host key verification failed. #0 0.831 fatal: Could not read from remote repository.
这是因为 ssh 不能识别远程主机提供的秘钥，默认情况下会询问是否信任该秘钥，但是在非交互的环境里会直接拒绝掉。
Dockerfile 里的 ssh-keycan github.com > known_hosts
这句就是添加到信任列表，也有可能没生效。可以试试加上下面这句，直接关闭 SSH 的严格模式：
1 2 3
Configure ssh to trust unknown host keys:
RUN sed /^StrictHostKeyChecking/d /etc/ssh/ssh_config;
echo StrictHostKeyChecking no >> /etc/ssh/ssh_config
buildx
使用 docker buildx 进行多架构编译时也可以使用同样的方式对 Dockerfile 进行修改，然后在 build 时指定私钥。
1
docker buildx build —push —platform “linux/amd64,linux/arm64” -t helloworld:1.0.0 —ssh default = ~/.ssh/id_rsa -f cross.Dockerfile .
多私钥
如果有多个私有仓库并且需要不同的私钥进行认证的话也是支持的，需要额外处理一下。
首先是 Dockerfile 里每条命令需要指定使用的私钥
1 2
RUN —mount= type = ssh,id= github_ssh_key go mod download RUN —mount= type = ssh,id= gitlab_ssh_key bundle install
相应的需要信任多个 hosts
1 2
ssh-keyscan github.com >> ~/.ssh/known_hosts ssh-keyscan gitlab.com >> ~/.ssh/known_hosts
最后 build 时需要传递多个私钥
1
docker build —ssh github_ssh_key = /path/to/.ssh/github_ssh_id_rsa —ssh gitlab_ssh_key = /path/to/.ssh/gitlab_ssh_id_rsa .
- 小结 在 Docker build 时使用 SSH 私钥进行认证有两种比较好的解决方案：
1）Docker 18.09 之前的版本，使用多阶段构建，将私钥以参数形式传递进容器，需要保证私钥不出现在最后一阶段即可 2）Docker 18.09 及以后，原生支持 --ssh
参数，推荐使用 如果不使用 Docker 的话就只能用方案一了。
- 参考 using-ssh-keys-inside-docker-container
docker 官方文档
dockerfile-run-mount-type-ssh-doesnt-seem-to-work
Build secrets and SSH forwarding in Docker 18.09