让 GitLab CI 克隆私有仓库

Question

我设置了 GitLab 和 GitLab CI 来托管和测试我的一些私人存储库。 对于我在这个系统下的 composer 模块，我设置了 Satis 来解析我的私有包。

显然，这些私有包需要一个 ssh 密钥来克隆它们，并且我在终端中使用了这个 - 我可以运行 composer install 并获取这些包，只要我在 shell 中使用ssh-add了密钥。

但是，在 GitLab CI 中运行我的测试时，如果项目具有这些依赖项中的任何一个，则测试将无法完成，因为我的 GitLab 实例需要身份验证才能获取 deps（显然），并且测试失败并显示Host key verification failed 。

我的问题是如何进行设置，以便当跑步者运行测试时，它可以在没有密码的情况下对 gitlab 进行身份验证？ 我试过在我的 runners ~/.ssh文件夹中放置一个无密码的 ssh-key，但是构建甚至不会添加密钥，“eval ssh-agent -s ”后跟 ssh-add 似乎没有说代理不是'跑...

Answer 1

另请参阅其他解决方案：

• git submodule 权限（见Marco A. 的回答）
• 工作令牌并覆盖 git config 中的 repo（请参阅a544jh 的答案）

---

这里有一个完整的使用 SSH 密钥的方法：

总体设计

• 生成一对 SSH 密钥
• 添加私有变量作为项目的安全环境变量
• 在 GitLab-CI 上为您的测试脚本提供私有的
• 在每个私有依赖项上添加公共密钥作为部署密钥

生成一对公钥和私钥 SSH 密钥

生成一对没有密码的公共和私人 SSH 密钥：

ssh-keygen -b 4096 -C "<name of your project>" -N "" -f /tmp/name_of_your_project.key

将私有 SSH 密钥添加到您的项目

您需要将密钥作为安全环境变量添加到您的项目中，如下所示：

• 浏览https://<gitlab_host>/<group>/<project_name>/variables
• 点击“添加变量”
• 用SSH_PRIVATE_KEY填充文本字段Key
• 使用私有 SSH 密钥本身填充文本字段Value
• 点击“保存更改”

将私有 SSH 密钥公开给您的测试脚本

为了使您的私钥可用于您的测试脚本，您需要将以下内容添加到您的.gitlab-ci.yml文件中：

before_script:
  # install ssh-agent
  - 'which ssh-agent || ( apt-get update -y && apt-get install openssh-client -y )'
  # run ssh-agent
  - eval $(ssh-agent -s)
  # add ssh key stored in SSH_PRIVATE_KEY variable to the agent store
  - ssh-add <(echo "$SSH_PRIVATE_KEY")
  # disable host key checking (NOTE: makes you susceptible to man-in-the-middle attacks)
  # WARNING: use only in docker container, if you use it with shell you will overwrite your user's ssh config
  - mkdir -p ~/.ssh
  - echo -e "Host *\n\tStrictHostKeyChecking no\n\n" > ~/.ssh/config

代码片段来自 GitLab 文档

将公共 SSH 密钥作为部署密钥添加到所有私有依赖项

您需要将公共 SSH 密钥注册为所有私有依赖项的部署密钥，如下所示：

• 浏览https://<gitlab_host>/<group>/<dependency_name>/deploy_keys
• 单击“新部署密钥”
• 用您的项目Title填充文本字段Title
• 使用公共 SSH 密钥本身填充文本字段Key
• 单击“创建部署密钥”

Answer 2

如果您不想摆弄 ssh 密钥或子模块，您可以覆盖 git 配置中的 repo 以使用作业令牌进行身份验证（在gitlab-ci.yml ）：

before_script:
  - git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.example.com/group/repo.git".insteadOf git@gitlab.example.com:group/repo.git

Answer 3

我将此作为答案发布，因为其他人并不完全清楚和/或详细恕我直言

从 GitLab 8.12+ 开始，假设子模块 repo 与请求它的服务器位于同一服务器中，您现在可以：

1. 像往常一样使用 git submodules 设置 repo ( git submodule add git@somewhere:folder/mysubmodule.git )

2. 修改你的.gitmodules文件如下

    [submodule "mysubmodule"] path = mysubmodule url = ../../group/mysubmodule.git

   其中../../group/mysubmodule.git是从您的存储库到子模块的存储库的相对路径。

3. gitlab-ci.yml添加到gitlab-ci.yml

    variables: GIT_SUBMODULE_STRATEGY: recursive

   指示运行程序在构建之前获取所有子模块。

警告：如果您的跑步者似乎忽略了GIT_SUBMODULE_STRATEGY指令，您可能应该考虑更新它。

（来源： https : //docs.gitlab.com/ce/ci/git_submodules.html ）

Answer 4

当前接受的答案将 Gitlab 特定的要求嵌入到我的.gitmodules文件中。 这会强制本地开发使用特定的目录布局，并且会使迁移到另一个版本控制平台变得复杂。

相反，我遵循了Juddling 的回答中的建议。 这是一个更完整的答案。

我的.gitmodules文件包含以下内容：

[submodule "myproject"]
    url = git@git.myhost.com:mygroup/myproject.git

在我的gitlab-ci.yml我有以下内容：

build:
  stage: build
  before_script:
    - git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@git.myhost.com/".insteadOf "git@git.myhost.com:"
    - git submodule sync && git submodule update --init

结尾的/和:在git config行中很重要，因为我们正在从 SSH 身份验证映射到 HTTPS。 这使我因“非法端口号”错误而绊倒了一段时间。

我喜欢这个解决方案，因为它将 Gitlab 特定的要求嵌入到 Gitlab 特定的文件中，其他所有文件都会忽略它。

Answer 5

我使用部署令牌来解决这个问题，因为为测试运行器设置 SSH 密钥似乎有点冗长。

git clone http://<username>:<deploy_token>@gitlab.example.com/tanuki/awesome_project.git

部署令牌是针对每个项目的，并且是只读的。

Answer 6

通过使用ssh-keyscan -H 'localgitlab.co.uk' >> ~gitlab_ci_runner/.ssh/known_hosts将密钥添加到已知主机来解决此问题

Answer 7

在不更改 git 存储库结构的情况下解决此问题的一种方法是执行以下步骤：

1.获取ssh主机密钥

获取您正在运行的服务器的 ssh 主机密钥。 对于gitlab.com ：

1. 运行ssh-keyscan gitlab.com > known_hosts
2. 检查ssh-keygen -lf known_hosts与此处报告的指纹一致。
3. 复制known_hosts的内容并将其粘贴到存储库上名为SSH_KNOWN_HOSTS的变量上。

这一步只需要一次。

2.配置作业使用ssh

before_script:
    - git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com".insteadOf "git@gitlab.com:"
    - mkdir -p ~/.ssh
    - chmod 700 ~/.ssh
    - echo "$SSH_KNOWN_HOSTS" > ~/.ssh/known_hosts
    - chmod 644 ~/.ssh/known_hosts

该"ssh://git@gitlab.com"如果你正在尝试做一位可以是不同git clone git@gitlab.com:或pip install -e git+ssh://git@gitlab.com/... ; 根据您的需要进行相应调整。

此时，您的 CI 能够使用 ssh 从另一个（私有）存储库中获取数据。

3.【额外干货】

使用这个技巧一般地编写它：

.enable_ssh: &enable_ssh |-
    git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com".insteadOf "ssh://git@gitlab.com"
    mkdir -p ~/.ssh
    chmod 700 ~/.ssh
    echo "$SSH_KNOWN_HOSTS" > ~/.ssh/known_hosts
    chmod 644 ~/.ssh/known_hosts

并在需要它的工作上启用它

test:
    stage: test
    before_script:
        - *enable_ssh
    script:
        - ...

Answer 8

我有一个场景，我必须在 3 个不同的脚本中使用我的 ssh 密钥，所以我将 ssh 密钥放在一个 shell 脚本中，并在其他 3 个脚本之前先调用它。 这最终不起作用，我认为是由于ssh-agent没有在 shell 脚本之间持续存在，或者类似的东西。 我最终实际上只是将私钥输出到~/.ssh/id_rsa文件中，这肯定会持续到其他脚本中。

.gitlab-ci.yml

script:
    - ci/init_ssh.sh
    - git push # or whatever you need ssh for

ci/init_ssh.sh

# only run in docker:
[[ ! -e /.dockerenv ]] && exit 0

mkdir -p ~/.ssh
echo "$GITLAB_RUNNER_SSH_KEY" > ~/.ssh/id_rsa
chmod 400 ~/.ssh/id_rsa
echo -e "Host *\n\tStrictHostKeyChecking no\n\n" > /.ssh/config

它就像一个魅力！

Answer 9

将它添加到 .gitlab-ci.yml 对我来说很有效。 （如此处所述： https : //docs.gitlab.com/ee/user/project/new_ci_build_permissions_model.html#dependent-repositories ）

before_script:
    echo -e "machine gitlab.com\nlogin gitlab-ci-token\npassword ${CI_JOB_TOKEN}" > ~/.netrc

（我尝试按照上述答案之一中的说明设置 SSH_PRIVATE_KEY，但它不起作用）

Answer 10

如果您使用的是基于 alpine 的映像（可能是docker:dind docker:latest或docker:dind ），您的before_script可能如下所示：

before_script:
    - apk add --no-cache openssh-client git
    - mkdir -p /.ssh && touch /.ssh/known_hosts
    - ssh-keyscan gitlab.com >> /.ssh/known_hosts
    - echo $SSH_KEY | base64 -d >> /.ssh/id_rsa && chmod 600 /.ssh/id_rsa
    - git clone git@git.myhost.com:mygroup/myproject.git

Answer 11

1. 如果您的 CI 运行程序在容器模型上运行，您需要使用部署密钥。 文档： https : //docs.gitlab.com/ee/user/project/deploy_tokens/#git-clone-a-repository

git clone https://<username>:<deploy_token>@gitlab.example.com/tanuki/awesome_project.git

2. 创建您的部署令牌
3. 在 CI 管道变量中添加您的令牌
4. 确保您的容器具有 git 并通过 insteadOf 更改 git URL

  image: docker:latest
  before_script:
    - apk add --no-cache curl jq python3 py3-pip git
    - git config --global url."https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.example.come/".insteadOf 'git@gitlab.example.come:'

替换 URL： https : //docs.gitlab.com/ee/user/project/working_with_projects.html#authenticate-git-fetches

Answer 12

似乎终于有了一个合理的解决方案。

简而言之，从 GitLab 8.12 开始，您需要做的就是在.submodules使用相对路径，并且git submodule update --init将简单地工作