在 GitHub Actions 中使用機密

目錄

構建機密是敏感資訊，例如密碼或 API 令牌，在構建過程中使用。Docker Build 支援兩種形式的機密：

  • 機密掛載 將機密作為檔案新增到構建容器中（預設為 /run/secrets 下）。
  • SSH 掛載 將 SSH 代理套接字或金鑰新增到構建容器中。

本頁面介紹如何在 GitHub Actions 中使用機密。有關機密的總體介紹，請參閱構建機密。

機密掛載

以下示例使用並公開了 GitHub 在工作流程中提供的GITHUB_TOKEN 機密。

首先，建立一個使用機密的 Dockerfile：

# syntax=docker/dockerfile:1
FROM alpine
RUN --mount=type=secret,id=github_token,env=GITHUB_TOKEN ...

在此示例中，機密名稱為 github_token。以下工作流程使用 secrets 輸入公開此機密：

name: ci

on:
  push:

jobs:
  docker:
    runs-on: ubuntu-latest
    steps:
      - name: Set up QEMU
        uses: docker/setup-qemu-action@v3

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Build
        uses: docker/build-push-action@v6
        with:
          platforms: linux/amd64,linux/arm64
          tags: user/app:latest
          secrets: |
            "github_token=${{ secrets.GITHUB_TOKEN }}"
注意

您還可以使用 secret-files 輸入將機密檔案公開給構建：

secret-files: |
  "MY_SECRET=./secret.txt"

如果您正在使用GitHub 機密並且需要處理多行值，則需要將鍵值對放在引號之間：

secrets: |
  "MYSECRET=${{ secrets.GPG_KEY }}"
  GIT_AUTH_TOKEN=abcdefghi,jklmno=0123456789
  "MYSECRET=aaaaaaaa
  bbbbbbb
  ccccccccc"
  FOO=bar
  "EMPTYLINE=aaaa

  bbbb
  ccc"
  "JSON_SECRET={""key1"":""value1"",""key2"":""value2""}"
金鑰值
我的機密***********************
GIT_AUTH_TOKENabcdefghi,jklmno=0123456789
我的機密aaaaaaaa\nbbbbbbb\nccccccccc
FOObar
空行aaaa\n\nbbbb\nccc
JSON_SECRET{"key1":"value1","key2":"value2"}
注意

引號需要雙重轉義。

SSH 掛載

SSH 掛載允許您使用 SSH 伺服器進行身份驗證。例如，執行 git clone，或從私有儲存庫獲取應用程式包。

以下 Dockerfile 示例使用 SSH 掛載從私有 GitHub 儲存庫獲取 Go 模組。

# syntax=docker/dockerfile:1

ARG GO_VERSION="1.24"

FROM golang:${GO_VERSION}-alpine AS base
ENV CGO_ENABLED=0
ENV GOPRIVATE="github.com/foo/*"
RUN apk add --no-cache file git rsync openssh-client
RUN mkdir -p -m 0700 ~/.ssh && ssh-keyscan github.com >> ~/.ssh/known_hosts
WORKDIR /src

FROM base AS vendor
# this step configure git and checks the ssh key is loaded
RUN --mount=type=ssh <<EOT
  set -e
  echo "Setting Git SSH protocol"
  git config --global url."git@github.com:".insteadOf "https://github.com/"
  (
    set +e
    ssh -T git@github.com
    if [ ! "$?" = "1" ]; then
      echo "No GitHub SSH key loaded exiting..."
      exit 1
    fi
  )
EOT
# this one download go modules
RUN --mount=type=bind,target=. \
    --mount=type=cache,target=/go/pkg/mod \
    --mount=type=ssh \
    go mod download -x

FROM vendor AS build
RUN --mount=type=bind,target=. \
    --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache \
    go build ...

要構建此 Dockerfile，您必須指定一個 SSH 掛載，構建器可以在帶有 --mount=type=ssh 的步驟中使用。

以下 GitHub Action 工作流程使用 MrSquaare/ssh-setup-action 第三方操作在 GitHub Runner 上引導 SSH 設定。該操作建立一個由 GitHub Action 機密 SSH_GITHUB_PPK 定義的私鑰，並將其新增到位於 SSH_AUTH_SOCK 的 SSH 代理套接字檔案中。構建步驟中的 SSH 掛載預設假定 SSH_AUTH_SOCK，因此無需顯式指定 SSH 代理套接字的 ID 或路徑。

name: ci

on:
  push:

jobs:
  docker:
    runs-on: ubuntu-latest
    steps:
      - name: Set up SSH
        uses: MrSquaare/ssh-setup-action@2d028b70b5e397cf8314c6eaea229a6c3e34977a # v3.1.0
        with:
          host: github.com
          private-key: ${{ secrets.SSH_GITHUB_PPK }}
          private-key-name: github-ppk

      - name: Build and push
        uses: docker/build-push-action@v6
        with:
          ssh: default
          push: true
          tags: user/app:latest
name: ci

on:
  push:

jobs:
  docker:
    runs-on: ubuntu-latest
    steps:
      - name: Set up SSH
        uses: MrSquaare/ssh-setup-action@2d028b70b5e397cf8314c6eaea229a6c3e34977a # v3.1.0
        with:
          host: github.com
          private-key: ${{ secrets.SSH_GITHUB_PPK }}
          private-key-name: github-ppk

      - name: Build
        uses: docker/bake-action@v6
        with:
          set: |
            *.ssh=default