Dockerfile中克隆Bitbucket私有Git仓库时SSH密钥权限错误的解决求助

我来帮你搞定这个问题——这个SSH权限的坑我之前在构建镜像时也踩过好几次，核心问题出在Docker构建阶段的文件权限逻辑和你之前用的两种密钥传递方式的误区上，咱们一步步拆解解决：

先分析你之前两种写法的问题 #

第一种：用VOLUME挂载本地密钥 #

VOLUME指令是用来在容器运行时挂载宿主机目录或数据卷的，而你在构建阶段（RUN指令）试图访问这个挂载的密钥文件，这时候根本还没挂载！所以你写的chmod 400 /root/.ssh/id_rsa其实是操作一个空文件或者不存在的路径，等容器运行时挂载进来的密钥还是你本地的0755权限，自然会触发“权限太开放”的错误。

第二种：用ARG传递密钥 #

你加的ssh-keygen -f ~/.ssh/id_rsa -p是用来修改密钥密码的，但你生成密钥时没设密码，这个命令会要求输入旧密码，构建过程无交互，直接就卡住失败了。另外，你把.ssh目录权限设为755（应该是700，只有所有者能访问），而且echo写入密钥后，有时候Docker的缓存或文件系统逻辑会重置权限，导致chmod没生效。

两种可行的解决方案 #

方案一：用构建上下文传递密钥（简单易上手） #

这种方式把密钥临时复制到构建阶段，克隆完成后立即删除，避免留在最终镜像里：

1. 先把本地私钥id_rsa复制到你的项目目录（一定要在.gitignore里添加id_rsa，绝对不能提交到代码库！），同时确保本地私钥权限正确：

   chmod 600 ~/.ssh/id_rsa
   cp ~/.ssh/id_rsa ./
   

2. 修改你的Dockerfile：

   FROM ubuntu:18.04 AS intermediate
   ENV HOME /root
   ARG DEBIAN_FRONTEND=noninteractive
   
   # 安装依赖工具
   RUN echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections && \
       apt-get update && apt-get upgrade -y && \
       apt-get -y --no-install-recommends install build-essential cmake ssh git
   
   # 配置SSH环境
   RUN mkdir -p /root/.ssh && chmod 700 /root/.ssh
   # 复制本地私钥到镜像内
   COPY id_rsa /root/.ssh/id_rsa
   # 必须紧跟COPY设置权限，避免Docker重置
   RUN chmod 400 /root/.ssh/id_rsa && \
       # 添加Bitbucket到已知主机，跳过首次连接确认
       ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts && \
       chmod 644 /root/.ssh/known_hosts
   
   # 克隆私有仓库
   RUN git clone git@bitbucket.org:company/myRepo.git
   
   # 克隆完成立即删除私钥，绝对不能留在镜像里！
   RUN rm /root/.ssh/id_rsa
   
   FROM ubuntu:18.04
   LABEL Description="Build environment"
   ENV HOME /root
   SHELL ["/bin/bash", "-c"]
   ARG DEBIAN_FRONTEND=noninteractive
   
   # 从构建阶段复制仓库到最终镜像
   COPY --from=intermediate myRepo /git/myRepo
   

3. 执行构建命令：

   docker build -t my-build-image .
   

方案二：用Docker BuildKit秘密管理（更安全，推荐） #

BuildKit支持从本地文件传递秘密，不需要把密钥放到构建上下文，彻底避免意外泄露：

1. 先开启BuildKit（临时开启，永久开启可以修改Docker daemon配置）：

   export DOCKER_BUILDKIT=1
   

2. 修改Dockerfile（注意开头要加syntax声明）：

   # syntax=docker/dockerfile:1.2
   FROM ubuntu:18.04 AS intermediate
   ENV HOME /root
   ARG DEBIAN_FRONTEND=noninteractive
   
   RUN echo 'debconf debconf/frontend select Noninteractive' | debconf-set-selections && \
       apt-get update && apt-get upgrade -y && \
       apt-get -y --no-install-recommends install build-essential cmake ssh git
   
   RUN mkdir -p /root/.ssh && chmod 700 /root/.ssh
   # 使用BuildKit的秘密挂载，直接读取本地私钥
   RUN --mount=type=secret,id=ssh_id,target=/root/.ssh/id_rsa \
       chmod 400 /root/.ssh/id_rsa && \
       ssh-keyscan bitbucket.org >> /root/.ssh/known_hosts && \
       chmod 644 /root/.ssh/known_hosts && \
       git clone git@bitbucket.org:company/myRepo.git
   
   FROM ubuntu:18.04
   LABEL Description="Build environment"
   ENV HOME /root
   SHELL ["/bin/bash", "-c"]
   ARG DEBIAN_FRONTEND=noninteractive
   
   COPY --from=intermediate myRepo /git/myRepo
   

3. 执行构建命令，直接传递本地私钥：

   docker build --secret id=ssh_id,src=~/.ssh/id_rsa -t my-build-image .
   

补充说明 #

• 关于密钥留空密码短语：完全没问题，自动化场景下本来就会这么做，这不是你失败的原因。
• 权限要求：SSH私钥必须是400权限（只有所有者能读），.ssh目录必须是700权限（只有所有者能访问），这是SSH的强制安全要求，一点不能错。

内容的提问来源于stack exchange，提问作者notARobot