>上下文
使用 Container Builder 构建的 Ruby on Rails 应用程序，用于 App Engine。我们要求捆绑器能够使用 SSH 密钥从私有 git 存储库安装依赖项。
SSH 密钥来自安全存储桶，它们通过 KMS 进行解密。这些步骤很好。但是，使用 Docker 构建容器的最后一步无法访问 SSH 密钥。
我以前没有任何丰富的Docker经验，所以我认为这是一个简单的问题。
Cloudbuild.yml
steps:
# Get and prepare Deploy Key
- name: 'gcr.io/cloud-builders/gsutil'
args: ['cp', 'gs://[PROJECT-BUCKET]/git_id_rsa.enc', '/root/.ssh/git_id_rsa.enc']
volumes:
- name: 'ssh-setup'
path: /root/.ssh
- name: 'gcr.io/cloud-builders/gcloud'
args:
- kms
- decrypt
- --ciphertext-file=/root/.ssh/git_id_rsa.enc
- --plaintext-file=/root/.ssh/git_id_rsa
- --location=global
- --keyring=[KEYRING]
- --key=[KEY]
volumes:
- name: 'ssh-setup'
path: /root/.ssh
- name: 'gcr.io/cloud-builders/gcloud'
entrypoint: /workspace/deploy/git-prepare.sh
volumes:
- name: 'ssh-setup'
path: /root/.ssh
# ... Omitted steps ...
# Docker build
- name: 'gcr.io/cloud-builders/docker'
args: ['build', '-t', 'gcr.io/$PROJECT_ID/[PROJECT-NAME]', '.']
volumes:
- name: 'ssh-setup'
path: /root/.ssh
images: ['gcr.io/$PROJECT_ID/[PROJECT-NAME]']
省略了一些标识符
deploy/git-prepare.sh— 这将执行一些 shell 命令以使 ssh 目录重新填充必要的信息。
#!/bin/bash
mkdir -p /root/.ssh
touch /root/.ssh/config
ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts
touch /root/.ssh/config
echo -e "nHost bitbucket.orgn IdentityFile /root/.ssh/git_id_rsa" >> /root/.ssh/config
if [ -f /root/.ssh/git_id_rsa.enc ]; then
rm /root/.ssh/git_id_rsa.enc
fi
Dockerfile
# .. OMITTING BOILERPLATE FOR RAILS APP SETUP ...
# Copy the application files.
COPY . /app/
# Copy the SSH keys and config for bundler
VOLUME /root/.ssh
COPY /root/.ssh/known_hosts ~/.ssh/known_hosts
COPY /root/.ssh/config ~/.ssh/config
COPY /root/.ssh/git_id_rsa ~/.ssh/git_id_rsa
问题：
生成任务(使用生成触发器运行)失败，并显示：
...omitted lines above...
Step #5: COPY failed: stat /var/lib/docker/tmp/docker-builderxxxxxxxxx/root/.ssh/known_hosts: no such file or directory
Step #5: Step 7/14 : COPY /root/.ssh/known_hosts ~/.ssh/known_hosts
我有一种感觉，我不明白 Container Builder 和 Docker 共享卷和数据的方式。
DockerfileCOPY可以使用多个<src>资源，但文件和目录的路径将被解释为相对于构建上下文的源。
这是您执行docker build .命令的当前路径。
在您的情况下，如果在 Dockerfile 执行其步骤时挂载了/root/.ssh，一个简单的RUN cp /root/.ssh/... /destination/path就足够了。
但是，您不能docker build一次挂载卷(请参阅 moby 问题 14080)，因此请检查此解决方案：多阶段构建会有所帮助。
好的，我设法完成了上面答案和评论中提到的操作。 这是我所做的。 请注意，正如问题作者发布的那样，我在卷/root/.ssh 中id_rsa和known_hosts文件。 我假设他通过以下文章到达了他的状态：https://cloud.google.com/container-builder/docs/access-private-github-repos
在我的cloudbuild.yaml中： 克隆我的存储库后，但在 docker 构建之前，我添加了此步骤：
- name: 'gcr.io/cloud-builders/git'
entrypoint: 'bash'
args:
- '-c'
- cp /root/.ssh/{id_rsa,known_hosts} .
volumes:
- name: 'ssh'
path: /root/.ssh
然后，在 Dockerfile 中：
COPY id_rsa /root/.ssh/id_rsa
COPY known_hosts /root/.ssh/known_hosts
RUN eval $(ssh-agent) &&
echo -e "StrictHostKeyChecking no" >> /etc/ssh/ssh_config &&
ssh-add /root/.ssh/id_rsa
请注意，我不担心容器中的密钥，因为我使用的是多阶段构建。
我还必须处理同样的问题，而不是将 ssh 密钥复制到 Docker 文件并进行清理，我将存储库克隆到工作区作为云构建步骤。工作区中的内容在生成步骤中保留，并且可以在生成期间在 docker 文件中使用。
# Clone git repo.
- name: 'gcr.io/cloud-builders/git'
id: git-clone
args:
- clone
- git@github.com:repo.git
- workspace/repo-clone
volumes:
- name: 'ssh'
path: /root/.ssh
然后在码头工人文件中。
COPY workspace/repo-name build/