自托管Runner上基于Docker的自定义GitHub Action镜像认证问题

1. 自托管Runner预配置Docker认证（最优推荐） #

因为你的Runner是自托管的，直接在Runner主机上预先完成JFrog仓库的Docker登录，这样GitHub拉取自定义Action镜像时会复用Runner的Docker认证状态，从根源解决问题：

• 在Runner机器上执行登录命令：

  docker login your-jfrog-repo-domain -u <JFROG_USERNAME> -p <JFROG_PASSWORD/API_KEY>
  

• 登录成功后，凭证会存在~/.docker/config.json中，确保Runner服务运行的用户拥有该文件的读取权限
• 如果是批量管理Runner，可以用配置管理工具（如Ansible）批量推送config.json到所有Runner主机

优点：一劳永逸，无需修改工作流或Action，所有依赖私有镜像的容器Action都能直接使用；缺点：Runner主机凭证需要定期更新，需做好权限管控。

2. 将自定义Action改为复合Action（灵活可控） #

你提到的复合Action方案可以优化，让认证逻辑内嵌到Action中，无需依赖Runner预配置：

• 编写复合Action的action.yml，内置登录步骤：

  name: 'JFrog 自定义操作'
  inputs:
    jfrog-url:
      description: 'JFrog仓库地址'
      required: true
    jfrog-username:
      description: 'JFrog用户名'
      required: true
    jfrog-token:
      description: 'JFrog密码或API令牌'
      required: true
    image-tag:
      description: '私有镜像标签'
      required: true
  runs:
    using: "composite"
    steps:
      - name: 登录JFrog仓库
        shell: bash
        run: |
          docker login ${{ inputs.jfrog-url }} -u ${{ inputs.jfrog-username }} -p ${{ inputs.jfrog-token }}
      - name: 执行自定义逻辑
        shell: bash
        run: |
          docker run --rm ${{ inputs.jfrog-url }}/your-image:${{ inputs.image-tag }} your-command-here
  

• 在工作流中调用时，从GitHub Secrets传入凭证：

  steps:
    - uses: your-org/your-custom-action@v1
      with:
        jfrog-url: 'your-jfrog-repo-domain'
        jfrog-username: ${{ secrets.JFROG_USER }}
        jfrog-token: ${{ secrets.JFROG_TOKEN }}
        image-tag: 'v1.0.0'
  

优点：无需修改Runner配置，凭证通过GitHub Secrets管理更安全，Action可复用性强；缺点：相比容器Action，复合Action依赖Runner主机的Docker环境。

3. 为JFrog仓库配置Runner IP白名单（内部环境可选） #

如果你的基础设施是完全内部隔离的，可以给JFrog仓库添加自托管Runner的IP地址到白名单，允许无凭证拉取镜像：

• 在JFrog控制台的仓库权限设置中，添加Runner主机的IP段到允许列表
• 配置镜像仓库为“允许匿名拉取（仅限指定IP）”

优点：无需任何认证步骤，简化流程；缺点：仅适用于内部安全环境，IP变更时需同步更新白名单，安全性较低。

内容的提问来源于stack exchange，提问作者Kani