如何通过GitHub Actions向Dockerfile注入密钥以安装GCP私有包

1. 调整GitHub Action配置（docker-build.yaml） #

在docker/build-push-action步骤中，通过secrets参数将GHA中的密钥传递给Docker Buildx，确保敏感信息安全传递到构建流程：

name: Build and Push Dataflow Image
on: [push]

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Build and push
        uses: docker/build-push-action@v5
        with:
          context: .
          push: true
          tags: us-docker.pkg.dev/your-gcp-project/your-artifact-repo/dataflow-image:latest # 替换为你的镜像标签
          secrets: |
            GCP_ARTIFACT_TOKEN=${{ secrets.YOUR_GCP_SECRET_NAME }} # 替换为你的GHA密钥名

2. 修改Dockerfile #

使用Docker的RUN --mount=type=secret挂载密钥，通过PDM配置私有仓库认证，或者替换pyproject.toml中的占位符：

方案一：通过PDM配置直接设置认证（推荐，更安全）

# 选择适配Dataflow的Python基础镜像
FROM python:3.10-slim

# 安装PDM
RUN pip install --upgrade pip && pip install pdm

WORKDIR /app

# 复制依赖配置文件
COPY pyproject.toml pdm.lock* ./

# 挂载密钥，配置GCP私有仓库的PDM认证
RUN --mount=type=secret,id=GCP_ARTIFACT_TOKEN \
    pdm config repositories.phxdataflow.url "https://us-python.pkg.dev/your-gcp-project/your-artifact-repo/simple/" \
    && pdm config repositories.phxdataflow.username oauth2accesstoken \
    && pdm config repositories.phxdataflow.password $(cat /run/secrets/GCP_ARTIFACT_TOKEN) \
    && pdm install --prod --no-editable

# 复制项目代码
COPY . .

# Dataflow启动命令（按需调整）
CMD ["python", "your_dataflow_entrypoint.py"]

方案二：替换pyproject.toml中的密钥占位符

如果你的pyproject.toml里私有仓库URL用了占位符（比如https://oauth2accesstoken:${GCP_TOKEN}@us-python.pkg.dev/...），可以用sed替换后再执行安装：

FROM python:3.10-slim

RUN pip install --upgrade pip && pip install pdm

WORKDIR /app

COPY pyproject.toml pdm.lock* ./

# 挂载密钥并替换占位符
RUN --mount=type=secret,id=GCP_ARTIFACT_TOKEN \
    sed -i "s/\${GCP_TOKEN}/$(cat /run/secrets/GCP_ARTIFACT_TOKEN)/g" pyproject.toml \
    && pdm install --prod --no-editable

COPY . .

CMD ["python", "your_dataflow_entrypoint.py"]

3. 确认pyproject.toml配置 #

确保pyproject.toml中已正确引用私有仓库：

[tool.pdm]
repositories = ["phxdataflow"]

[project]
dependencies = [
    "phxdataflow>=1.0.0",
    # 其他依赖项
]

核心说明 #

• 密钥通过Docker Buildx的secret机制传递，不会被写入镜像层，避免敏感信息泄露。
• GCP Artifact Registry的Python私有包认证固定使用oauth2accesstoken作为用户名，服务账号token作为密码，符合GCP官方规范。

内容的提问来源于stack exchange，提问作者Mike Williamson