如何从Docker容器克隆Git存储库

Question

我们有一个工具需要克隆几个Git存储库来聚合文档数据。我们希望将该工具放在Docker容器中，以便在本地和使用Jenkins轻松地运行它，并实现可复制性。

Git存储库托管在专用服务器上，需要使用SSH密钥进行身份验证。因此，Docker容器必须以某种方式获得对运行容器的用户的SSH键的访问权。

我们有一个约束列表：

null

• 在docker容器中使用SSH密钥（SSH密钥在构建时传递-我们需要运行时）
• 用dockerfile克隆私有git repo（相同问题）
• 使用Docker Compose（以根身份运行）将主机的SSH密钥注入Docker计算机

Answer 1

您可以使用以下内容：

echo "git-user:x:$(id -u):$(id -g):Git User:/tmp:/bin/bash" > /tmp/fake_passwd # See below why to use this
docker run \
   -u $(id -u):$(id -g) \
   -w /tmp \
   -v $HOME/.ssh:/path/to/.ssh \
   -v /tmp/fake_passwd:/etc/passwd  \
   --entrypoint sh \
   -it \
   alpine/git

  # commands in the container:
  $ export GIT_SSH_COMMAND='ssh -i /path/to/.ssh/id_rsa -o "StrictHostKeyChecking=no"'
  $ git clone [path to git repo]

这将确保容器以与主机用户相同的UID/GID运行，从而能够在不更改其权限或使用root权限的情况下读取密钥。详细说明：

• -U$(id-u):$(id-g)将容器用户设置为与主机用户匹配
• -w/tmp确保我们在可以写入的目录中工作（我们还可以挂载具有读/写权限的卷，或者用这样的目录构建映像）
• -v$home/.SSH:/path/to/.SSH从主机挂载本地用户SSH密钥
• --entrypoint sh和-it特定于Alpine/Git要有交互式shell会话，您的映像可能不需要它

Cloning into 'myrepo'...
No user exists for uid 1000
fatal: Could not read from remote repository.

git-user:x:1000:1000:Git User:/tmp:/bin/bash

• git-user存在UID 1000和GID 1000
• 它的主目录是/tmp（它是可选的，但此目录是可写的，避免Git Clone的警告）

通过设置/tmp（或在映像构建期间创建的另一个目录），我们可以确保git-user有一个可写的主目录，这将防止git clone发出警告，说它无法创建.ssh目录

但是，如果您打算使用容器运行不同的任务，这可能会产生其他副作用。

git_ssh_command='ssh-i/path/to/.ssh/id_rsa'将确保git clone正在使用我们的密钥，但这也可以使用ssh-agent来完成-请参阅https://serverfault.com/questions/447028/non-interactive-git-clone-ssh-fingert-prompt

在示例中，我使用-o“strithostkeychecking=no”但它可能不安全，另一个解决方案是在带有git repo服务器主机密钥的容器中挂载一个已知的主机文件，并使用-o“userknownhostsfile=/path/to/knownhostfile”