GitLab CI指定私有仓库镜像时如何实现登录认证？

问题根源 #

当你在job中直接指定image: 私有仓库/镜像时，GitLab Runner会优先拉取该镜像，这时候default段的before_script还未执行，导致登录认证缺失，拉取失败。

可行解决方案 #

方案1：手动在job中处理镜像拉取（推荐，灵活可控） #

不直接在job的image字段指定私有镜像，改用基础docker镜像，在before_script中完成登录后手动拉取并运行私有镜像：

default:
  before_script:
    - docker login -u ${CI_REGISTRY_USER} -p ${CI_JOB_TOKEN} ${CI_REGISTRY}

upload_windows_packages:
  # 用官方docker镜像作为job的基础环境
  image: docker:latest
  # 先执行default的登录逻辑，再添加私有仓库的登录
  before_script:
    - !reference [default, before_script]
    - docker login -u ${PRIVATE_REG_USER} -p ${PRIVATE_REG_PWD} 你的私有仓库地址
  script:
    # 拉取私有Windows镜像
    - docker pull 你的私有仓库地址/windows-package-image:latest
    # 运行镜像并执行上传任务
    - docker run --rm -v $(pwd):/workdir 你的私有仓库地址/windows-package-image:latest powershell -Command "你的上传脚本路径"

提示：PRIVATE_REG_USER和PRIVATE_REG_PWD建议存在GitLab项目的CI/CD变量中，避免明文暴露。

方案2：通过DOCKER_AUTH_CONFIG变量提前注入认证信息 #

直接在job中定义DOCKER_AUTH_CONFIG变量，让Runner拉取镜像时自动使用该认证：

1. 生成认证字符串：将用户名:密码用Base64编码（可通过echo -n "user:pass" | base64生成）
2. 在job中配置变量：

upload_windows_packages:
  image: 你的私有仓库地址/windows-package-image:latest
  variables:
    # 替换成你的私有仓库地址和Base64认证串
    DOCKER_AUTH_CONFIG: '{"auths": {"https://你的私有仓库地址": {"auth": "Base64编码的用户名密码"}}}'
  script:
    # 你的上传任务脚本

提示：同样建议将完整的DOCKER_AUTH_CONFIG内容存在CI/CD变量中，比如PRIVATE_REG_AUTH_CONFIG，然后在job中引用${PRIVATE_REG_AUTH_CONFIG}。

方案3：显式引用default的before_script #

如果job没有自定义before_script但default逻辑未生效，可在job中显式引用default的before_script，同时补充私有仓库登录：

upload_windows_packages:
  image: 你的私有仓库地址/windows-package-image:latest
  before_script:
    - !reference [default, before_script]
    - docker login -u ${PRIVATE_REG_USER} -p ${PRIVATE_REG_PWD} 你的私有仓库地址
  script:
    # 任务脚本

注意：此方案仅适用于Runner拉取镜像前会执行before_script的场景，部分旧版本Runner可能仍会优先拉镜像，此时推荐方案1。

内容的提问来源于stack exchange，提问作者malat