GitLab CI无特权运行distrobuilder自动构建LXC容器方案求助

针对在GitLab CI非特权流水线中构建LXC容器的需求，以下是几种无需依赖特权运行器的实用方案：

方案1：预构建基础镜像+CI增量定制 #

先在安全的特权环境（如本地或隔离构建机）完成核心镜像的构建，再在CI中做轻量定制：

• 本地用distrobuilder构建Alpine+Timescale基础LXC镜像，执行lxc image export <镜像名> ./导出为tar归档
• 将归档上传至GitLab Packages或内部对象存储
• CI流水线中执行以下操作：
  1. 下载预构建镜像归档
  2. 配置LXC用户ID映射（需CI环境安装LXC工具）
  3. 导入基础镜像并启动临时容器
  4. 注入定制配置（如修改Timescale参数、添加应用脚本）
  5. 停止容器并导出为定制镜像，完成部署

示例CI配置片段：

build-lxc-custom:
  image: alpine:latest
  before_script:
    - apk add --no-cache lxc wget
    - echo "root:100000:65536" > /etc/subuid
    - echo "root:100000:65536" > /etc/subgid
  script:
    - wget https://your-internal-storage/alpine-timescale-base.tar.gz
    - lxc image import alpine-timescale-base.tar.gz --alias base-image
    - lxc init base-image temp-container
    - lxc config set temp-container security.idmap "u 0 100000 65536"
    - lxc config set temp-container security.idmap "g 0 100000 65536"
    - lxc start temp-container
    - lxc exec temp-container -- apk add your-custom-package
    - lxc exec temp-container -- sh -c "echo 'timescaledb.telemetry_level=off' >> /var/lib/postgresql/data/postgresql.conf"
    - lxc stop temp-container
    - lxc image export temp-container ./custom-image.tar.gz
    # 上传至存储或推送至目标LXC主机

方案2：用mkosi非特权构建LXC镜像 #

mkosi支持无特权构建操作系统镜像，可直接生成LXC兼容的tar格式：

• 在CI环境安装mkosi（基于Debian/Alpine镜像）
• 编写mkosi配置文件定义系统版本、依赖和定制脚本
• 执行构建命令生成镜像，直接用于LXC导入

示例CI配置片段：

build-with-mkosi:
  image: debian:bookworm
  before_script:
    - apt update && apt install -y mkosi
    # 编写mkosi核心配置
    - cat > mkosi.conf <<EOF
[Distribution]
Distribution=alpine
Release=3.18
Architecture=x86_64

[Output]
Format=tar
EOF
    # 编写Timescale安装与配置脚本
    - cat > mkosi.postinst <<EOF
#!/bin/sh
set -e
apk add postgresql-timescale
echo "shared_preload_libraries = 'timescaledb'" >> /var/lib/postgresql/data/postgresql.conf
EOF
    - chmod +x mkosi.postinst
  script:
    - mkosi build --non-interactive
    - mv mkosi.output alpine-timescale-custom.tar
    # 后续上传或部署操作

方案3：使用预配置的非特权LXC Docker镜像 #

构建包含LXC和用户映射配置的自定义Docker镜像，在CI中直接使用：

• 编写Dockerfile配置LXC环境和ID映射规则
• 将镜像推送到GitLab容器注册表
• CI中使用该镜像执行镜像导入、定制、导出流程

自定义Dockerfile示例：

FROM alpine:3.18
RUN apk add --no-cache lxc
RUN echo "root:100000:65536" > /etc/subuid
RUN echo "root:100000:65536" > /etc/subgid
RUN echo "lxc.idmap = u 0 100000 65536" >> /etc/lxc/default.conf
RUN echo "lxc.idmap = g 0 100000 65536" >> /etc/lxc/default.conf
RUN echo "lxc.mount.auto = proc:rw sys:rw cgroup:rw" >> /etc/lxc/default.conf

关键注意事项 #

• 非特权LXC必须正确配置用户ID映射，避免文件权限冲突
• 若CI runner允许添加基础Linux能力（如CAP_SYS_ADMIN、CAP_SETUID），可进一步提升操作兼容性，这些能力的安全风险远低于完全特权运行器
• 若无法添加任何额外能力，mkosi是最优选择，无需依赖特权能力即可完成构建

内容的提问来源于stack exchange，提问作者lionsheart