在GitHub Actions中使用密钥

构建密钥是敏感信息，例如密码或API令牌，作为构建过程的一部分被使用。 Docker Build支持两种形式的密钥：

Secret mounts 将密钥作为文件添加到构建容器中（默认情况下在 /run/secrets 下）。
SSH挂载将SSH代理套接字或密钥添加到构建容器中。

本页面展示了如何在GitHub Actions中使用secrets。有关secrets的一般介绍，请参阅构建密钥。

Key	Value
`MYSECRET`	`***********************`
`GIT_AUTH_TOKEN`	`abcdefghi,jklmno=0123456789`
`MYSECRET`	`aaaaaaaa\nbbbbbbb\nccccccccc`
`FOO`	`bar`
`EMPTYLINE`	`aaaa\n\nbbbb\nccc`
`JSON_SECRET`	`{"key1":"value1","key2":"value2"}`

SSH 挂载

SSH挂载允许您使用SSH服务器进行身份验证。例如，执行git clone，或从私有仓库获取应用程序包。

以下Dockerfile示例使用SSH挂载从私有GitHub仓库获取Go模块。

# syntax=docker/dockerfile:1

ARG GO_VERSION="1.23"

FROM golang:${GO_VERSION}-alpine AS base
ENV CGO_ENABLED=0
ENV GOPRIVATE="github.com/foo/*"
RUN apk add --no-cache file git rsync openssh-client
RUN mkdir -p -m 0700 ~/.ssh && ssh-keyscan github.com >> ~/.ssh/known_hosts
WORKDIR /src

FROM base AS vendor
# this step configure git and checks the ssh key is loaded
RUN --mount=type=ssh <<EOT
  set -e
  echo "Setting Git SSH protocol"
  git config --global url."git@github.com:".insteadOf "https://github.com/"
  (
    set +e
    ssh -T git@github.com
    if [ ! "$?" = "1" ]; then
      echo "No GitHub SSH key loaded exiting..."
      exit 1
    fi
  )
EOT
# this one download go modules
RUN --mount=type=bind,target=. \
    --mount=type=cache,target=/go/pkg/mod \
    --mount=type=ssh \
    go mod download -x

FROM vendor AS build
RUN --mount=type=bind,target=. \
    --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache \
    go build ...

要构建此Dockerfile，您必须指定一个SSH挂载，构建器可以在步骤中使用--mount=type=ssh。

以下GitHub Action工作流使用MrSquaare/ssh-setup-action第三方操作来在GitHub运行器上引导SSH设置。该操作创建由GitHub Action密钥SSH_GITHUB_PPK定义的私钥，并将其添加到位于SSH_AUTH_SOCK的SSH代理套接字文件中。构建步骤中的SSH挂载默认假设SSH_AUTH_SOCK，因此无需显式指定SSH代理套接字的ID或路径。

name: ci

on:
  push:

jobs:
  docker:
    runs-on: ubuntu-latest
    steps:
      - name: Set up SSH
        uses: MrSquaare/ssh-setup-action@2d028b70b5e397cf8314c6eaea229a6c3e34977a # v3.1.0
        with:
          host: github.com
          private-key: ${{ secrets.SSH_GITHUB_PPK }}
          private-key-name: github-ppk

      - name: Build and push
        uses: docker/build-push-action@v6
        with:
          ssh: default
          push: true
          tags: user/app:latest

name: ci

on:
  push:

jobs:
  docker:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Set up SSH
        uses: MrSquaare/ssh-setup-action@2d028b70b5e397cf8314c6eaea229a6c3e34977a # v3.1.0
        with:
          host: github.com
          private-key: ${{ secrets.SSH_GITHUB_PPK }}
          private-key-name: github-ppk

      - name: Build
        uses: docker/bake-action@v5
        with:
          set: |
            *.ssh=default

在GitHub Actions中使用密钥

Secret mounts

SSH 挂载