如何在Argo Workflows中挂载SSH密钥实现BitBucket仓库Git推送

一、错误原因分析 #

Host key verification failed 本质是Git容器无法验证远程Git服务器的主机密钥，同时可能伴随SSH密钥权限不正确、挂载路径错误的问题。

二、分步解决方案 #

1. 处理主机密钥验证问题 #

有两种可行方式：

• 方式一：预加载远程Git服务器的主机密钥（推荐生产环境）
  在Git推送步骤中，先执行ssh-keyscan获取目标Git服务器的主机密钥并写入known_hosts文件：

  ssh-keyscan github.com >> /root/.ssh/known_hosts
  

  （如果是GitLab，替换为gitlab.com，其他服务器同理）

• 方式二：临时禁用严格主机密钥检查（仅测试环境）
  设置环境变量跳过验证：

  env:
    - name: GIT_SSH_COMMAND
      value: "ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null"
  

2. 正确挂载SSH密钥到容器 #

SSH私钥要求权限必须为600，否则会被SSH客户端拒绝使用，需按以下步骤配置：

第一步：创建包含SSH密钥的Kubernetes Secret

kubectl create secret generic git-ssh-key --from-file=id_rsa=/path/to/your/private-key --from-file=known_hosts=/path/to/your/known_hosts

（如果用方式一，known_hosts可以后续在容器内生成，这里可省略）

第二步：在Argo工作流的Git步骤中挂载Secret

在工作流的Git容器步骤里添加volumes和volumeMounts配置，同时设置正确的环境变量：

steps:
  - - name: git-push
      container:
        image: alpine/git:latest
        command: [sh, -c]
        args:
          - |
            # 加载主机密钥（如果没提前在secret里配置）
            ssh-keyscan github.com >> /root/.ssh/known_hosts
            # 配置Git用户信息（必须，否则commit会失败）
            git config --global user.name "Your Name"
            git config --global user.email "your-email@example.com"
            # 从S3解压修改后的代码到仓库目录
            tar -xzf /tmp/repo.tar.gz -C /tmp
            cd /tmp/your-repo-dir
            # 执行Git操作
            git add .
            git commit -m "Update tags via Argo workflow"
            git push origin main
        volumeMounts:
          - name: git-ssh-key
            mountPath: /root/.ssh
            readOnly: true
        env:
          - name: HOME
            value: /root # 确保Git使用root的.ssh目录
      volumes:
        - name: git-ssh-key
          secret:
            secretName: git-ssh-key
            defaultMode: 0600 # 关键：设置Secret文件权限为600
      # 从S3拉取步骤4修改后的tar包
      inputs:
        artifacts:
          - name: updated-repo
            path: /tmp/repo.tar.gz
            s3:
              bucket: your-s3-bucket
              key: path/to/updated-repo.tar.gz
              endpoint: s3.amazonaws.com
              insecure: false

3. 确保从S3拉取修改后的代码 #

在Git推送步骤中，必须通过Argo的input artifacts从S3下载步骤4生成的更新后的代码tar包，解压到容器内的Git工作目录，再执行commit和推送操作。

三、常见排查点 #

• 检查SSH密钥的权限：容器内/root/.ssh/id_rsa的权限必须是-rw-------（600），可在步骤中添加ls -l /root/.ssh/id_rsa验证。
• 确认Secret中的密钥内容正确：可以通过kubectl get secret git-ssh-key -o yaml查看，确保id_rsa的值是Base64编码后的私钥。
• 测试Git连接：在容器内执行ssh -T git@github.com（替换为你的Git服务器），验证是否能成功连接。

内容的提问来源于stack exchange，提问作者Sriram Ramesh