Question

上下文

使用Container Builder构建的Ruby on Rails应用程序，目的地是App Engine。我们要求bundler能够使用SSH密钥从私有git存储库安装依赖项。

SSH密钥来自安全存储桶，它们通过KMS进行解密。这些步骤很好。但是，使用Docker构建容器的最后一步无法访问SSH密钥。

我之前没有使用Docker的丰富经验，所以我认为这是一个简单的问题。

cloudbuild.yml

steps:
  # Get and prepare Deploy Key
- name: 'gcr.io/cloud-builders/gsutil'
  args: ['cp', 'gs://[PROJECT-BUCKET]/git_id_rsa.enc', '/root/.ssh/git_id_rsa.enc']
  volumes:
  - name: 'ssh-setup'
    path: /root/.ssh
- name: 'gcr.io/cloud-builders/gcloud'
  args:
  - kms
  - decrypt
  - --ciphertext-file=/root/.ssh/git_id_rsa.enc
  - --plaintext-file=/root/.ssh/git_id_rsa
  - --location=global
  - --keyring=[KEYRING]
  - --key=[KEY]
  volumes:
  - name: 'ssh-setup'
    path: /root/.ssh
- name: 'gcr.io/cloud-builders/gcloud'
  entrypoint: /workspace/deploy/git-prepare.sh
  volumes:
  - name: 'ssh-setup'
    path: /root/.ssh
  # ... Omitted steps ...
  # Docker build
- name: 'gcr.io/cloud-builders/docker'
  args: ['build', '-t', 'gcr.io/$PROJECT_ID/[PROJECT-NAME]', '.']
  volumes:
  - name: 'ssh-setup'
    path: /root/.ssh
images: ['gcr.io/$PROJECT_ID/[PROJECT-NAME]']

省略了一些标识符

deploy / git-prepare.sh - 这会执行一些shell命令，以便为ssh目录重新填充必要的信息。

#!/bin/bash

mkdir -p /root/.ssh

touch /root/.ssh/config
ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts

touch /root/.ssh/config
echo -e "\nHost bitbucket.org\n    IdentityFile /root/.ssh/git_id_rsa" >> /root/.ssh/config

if [ -f /root/.ssh/git_id_rsa.enc ]; then
    rm /root/.ssh/git_id_rsa.enc
fi

Dockerfile

# .. OMITTING BOILERPLATE FOR RAILS APP SETUP ...
# Copy the application files.
COPY . /app/

# Copy the SSH keys and config for bundler
VOLUME /root/.ssh

COPY /root/.ssh/known_hosts ~/.ssh/known_hosts
COPY /root/.ssh/config ~/.ssh/config
COPY /root/.ssh/git_id_rsa ~/.ssh/git_id_rsa

问题：

构建任务（使用构建触发器运行）失败，并显示：

...omitted lines above...   
Step #5: COPY failed: stat /var/lib/docker/tmp/docker-builderxxxxxxxxx/root/.ssh/known_hosts: no such file or directory
Step #5: Step 7/14 : COPY /root/.ssh/known_hosts ~/.ssh/known_hosts

我有一种感觉，我不会理解Container Builder和Docker共享卷和数据的方式。

Answer 1

Dockerfile COPY可以使用多个<src>资源，但文件和目录的路径将被解释为相对于构建上下文的来源。

这是您执行docker build .命令的当前路径。

在你的情况下，如果在Dockerfile执行其步骤时挂载了/root/.ssh，那么简单的RUN cp /root/.ssh/... /destination/path就足够了。

但是，您无法在docker build时挂载卷（请参阅moby issue 14080），因此请检查this solution: a multi-stage build can help。

Answer 2

好的，我设法做了上面的答案和评论中引用的内容。这就是我的所作所为。请注意，我在卷/root/.ssh中有我的id_rsa和known_hosts文件，正如问题作者发布的那样。我假设他按照这篇文章到达了他的州：https://cloud.google.com/container-builder/docs/access-private-github-repos

在我的cloudbuild.yaml中：在克隆我的repo之后，但在docker构建之前，我添加了这一步：

- name: 'gcr.io/cloud-builders/git' entrypoint: 'bash' args: - '-c' - cp /root/.ssh/{id_rsa,known_hosts} . volumes: - name: 'ssh' path: /root/.ssh

然后，在Dockerfile中：

COPY id_rsa /root/.ssh/id_rsa COPY known_hosts /root/.ssh/known_hosts RUN eval $(ssh-agent) && \ echo -e "StrictHostKeyChecking no" >> /etc/ssh/ssh_config && \ ssh-add /root/.ssh/id_rsa

注意，我并不担心容器中的密钥，因为我使用的是多阶段构建。

Answer 3

我还必须处理相同的问题，而不是将ssh密钥复制到Docker文件中并清理，而是将存储库克隆到工作区作为云构建步骤。工作区中的内容会在各个构建步骤中持久保存，并且可以在构建期间在docker文件中使用。

# Clone git repo.
- name: 'gcr.io/cloud-builders/git'
  id: git-clone
  args:
  - clone
  - git@github.com:repo.git
  - workspace/repo-clone
  volumes:
  - name: 'ssh'
  path: /root/.ssh

然后在docker文件中。

COPY workspace/repo-name build/

将文件从Google Cloud Container Builder传递到Docker构建任务

3 个答案: