GitLab CE 16.4.1 CI配置secrets报错，是否不支持该功能？

问题根源：GitLab CE确实不支持secrets配置项 #

没错，你遇到的unknown keys: secrets错误，就是因为GitLab Community Edition（CE）完全不支持CI配置里的secrets字段——这个原生集成Vault拉取密钥的功能是GitLab Enterprise Edition（EE）独有的特性，不管CE版本是16.4.1还是其他版本都用不了。

CE版本的替代实现方法 #

既然CE用不了原生secrets，可以通过脚本调用Vault CLI结合ID Token来手动拉取密钥，调整后的CI配置示例如下：

stages:
  - prep
  - build

job-prep:
  stage: prep
  id_tokens:
    VAULT_ID_TOKEN:
      aud: https://vault_server.com
  script:
    # 安装Vault CLI（根据runner镜像系统调整，这里以Debian系为例）
    - apt-get update && apt-get install -y unzip
    - wget https://releases.hashicorp.com/vault/1.15.0/vault_1.15.0_linux_amd64.zip
    - unzip vault_1.15.0_linux_amd64.zip && mv vault /usr/local/bin/
    # 用ID Token登录Vault（替换成你的Vault角色名）
    - vault login -method=oidc role=your_vault_role jwt=$VAULT_ID_TOKEN
    # 拉取密钥并设置为环境变量
    - export DB_PASSWORD=$(vault kv get -field=DB_PASSWORD gitlab/test/service)
    - echo $DB_PASSWORD
    # 将密钥传递给后续job（用dotenv artifacts）
    - echo "DB_PASSWORD=$DB_PASSWORD" > .env
  artifacts:
    reports:
      dotenv: .env

job-build:
  stage: build
  needs:
    - job-prep
  script:
    - echo $DB_PASSWORD

关键注意点 #

• 提前确保Vault已经配置好OIDC认证，且对应的角色有权限访问gitlab/test/service这个KV路径
• 用dotenv artifacts传递敏感变量时，GitLab会自动掩码显示，但仍要注意控制流水线的访问权限
• 如果你的CI runner用的是Alpine、RHEL等其他系统，需要修改Vault CLI的安装命令（比如Alpine用apk add unzip wget）

内容的提问来源于stack exchange，提问作者Janiis