如何自定义gitlab-runner-helper镜像拉取多个私有Git仓库？

核心结论：不建议自定义gitlab-runner-helper镜像 #

该镜像与GitLab Runner版本强绑定，自定义后会导致后续版本升级兼容性问题，维护成本极高。推荐以下更安全、易维护的方案：

方案1：用GitLab CI变量+SSH密钥安全拉取 #

通过CI变量注入可访问所有私有仓库的SSH密钥，在job初始化阶段完成Git配置，无需手动重复操作：

1. 在主项目的Settings > CI/CD > Variables中添加SSH_PRIVATE_KEY变量，值为能访问目标私有仓库的SSH私钥，勾选Masked（隐藏输出）和Protected（仅受保护分支可用）。
2. 在.gitlab-ci.yml中添加前置脚本完成SSH配置：

before_script:
  - apt-get update && apt-get install -y ssh-client git
  - mkdir -p ~/.ssh
  - echo "$SSH_PRIVATE_KEY" > ~/.ssh/id_rsa
  - chmod 600 ~/.ssh/id_rsa
  - ssh-keyscan gitlab.com >> ~/.ssh/known_hosts  # 替换为你的Git服务器地址
  - git config --global user.name "GitLab Runner"
  - git config --global user.email "runner@gitlab.example.com"

test_job:
  script:
    - git clone git@gitlab.com:your-group/other-repo.git ./other-repo
    - # 执行你的测试逻辑

方案2：用GitLab Deploy Tokens（更轻量化） #

针对每个私有仓库创建独立的Deploy Token，通过HTTPS方式拉取，无需配置SSH：

1. 在目标私有仓库的Settings > Repository > Deploy Tokens中创建token，勾选read_repository权限，记录生成的用户名和token。
2. 在主项目的CI变量中添加OTHER_REPO_USER和OTHER_REPO_TOKEN两个变量。
3. 克隆命令示例：

test_job:
  script:
    - git clone https://$OTHER_REPO_USER:$OTHER_REPO_TOKEN@gitlab.com:your-group/other-repo.git ./other-repo
    - # 执行测试逻辑

此方案可单独控制每个仓库的访问权限，安全性更高，且无需依赖SSH配置。

方案3：自定义Runner执行器镜像（适合固定场景） #

如果需要频繁拉取相同的私有仓库，可以构建包含预配置Git环境的自定义镜像，作为Runner的执行器基础镜像：

1. 编写Dockerfile：

FROM ubuntu:22.04
RUN apt-get update && apt-get install -y git ssh-client
# 注意：不要将密钥硬编码在镜像中，建议通过Docker Secrets或CI变量动态注入
RUN mkdir -p ~/.ssh && ssh-keyscan gitlab.com >> ~/.ssh/known_hosts
RUN git config --global user.name "GitLab Runner"
RUN git config --global user.email "runner@gitlab.example.com"

2. 构建镜像并推送到私有镜像仓库：

docker build -t your-registry/custom-runner-image:latest .
docker push your-registry/custom-runner-image:latest

3. 修改Runner的config.toml配置，指定自定义镜像：

[[runners]]
  name = "Custom Docker Runner"
  url = "https://gitlab.com/"
  token = "your-runner-token"
  executor = "docker"
  [runners.docker]
    image = "your-registry/custom-runner-image:latest"
    volumes = ["/cache"]

内容的提问来源于stack exchange，提问作者Andy Joe