如何在GitHub Actions服务容器中使用带自签名证书的私有镜像？

你遇到的报错是因为Docker客户端无法验证私有仓库的自签名CA证书，而GitHub Action的services字段会在所有steps执行前尝试拉取镜像，所以直接在steps中配置证书来不及。以下是可行的解决方案：

核心思路 #

放弃使用services自动启动服务容器，改为在steps中先配置Docker信任自定义CA证书，再手动拉取并启动容器。

具体实现步骤 #

1. 将CA证书存入GitHub Secrets：把你的私有仓库CA证书内容保存为仓库的Secret（比如命名为PRIVATE_REGISTRY_CA），避免明文泄露。
2. 修改Action配置：用手动启动容器的方式替代services字段，具体配置如下：

name: Service container test
on: push

jobs:
  container-job:
    runs-on: ubuntu-latest

    steps:
      - name: 配置Docker信任私有仓库CA证书
        run: |
          # 创建对应私有仓库的证书存放目录
          sudo mkdir -p /etc/docker/certs.d/jfrog.fakeprivateserver.org
          # 将Secrets中的证书写入指定路径
          echo "${{ secrets.PRIVATE_REGISTRY_CA }}" | sudo tee /etc/docker/certs.d/jfrog.fakeprivateserver.org/ca.crt
          # 重启Docker服务使配置生效
          sudo systemctl restart docker

      - name: 登录私有镜像仓库（如需要身份验证）
        run: |
          echo "${{ secrets.JFROG_PASSWORD }}" | docker login jfrog.fakeprivateserver.org -u "${{ secrets.JFROG_USERNAME }}" --password-stdin

      - name: 启动自定义服务容器
        run: |
          docker run -d -p 8010:8010 --name custom-image jfrog.fakeprivateserver.org/custom-image

      # 后续业务步骤...

为什么这个方法有效 #

• 先通过steps配置Docker的CA证书并重启服务，确保Docker客户端在拉取镜像前已经信任私有仓库的自签名证书。
• 手动启动容器完全控制了流程顺序，避免了services字段提前拉取镜像的问题。

补充说明 #

如果你的私有仓库不需要身份验证，可以跳过登录步骤。如果必须使用services字段，只能通过自定义自托管Runner（预先在Runner机器上配置好Docker CA证书）来实现，但这种方式需要维护自己的Runner集群，成本较高。

内容的提问来源于stack exchange，提问作者Copripop