如何阻止GitLab Code Quality Docker镜像访问外部资源registry-1.docker.io？

你踩了个典型的封装镜像依赖坑——你用的registry.gitlab.com/gitlab-org/ci-cd/codequality:0.85.24其实是个** wrapper镜像**，它本身不直接做代码检测，运行时会自动去Docker Hub拉取对应的codeclimate/codeclimate:0.85.23核心镜像。但你的GitLab环境禁止外部访问，所以才会出现连接registry-1.docker.io被拒绝的报错。

下面是适配你环境的具体解决步骤：

1. 将依赖的CodeClimate镜像同步到内部仓库 #

先找一台能访问外网的机器，完成以下操作：

• 拉取对应版本的CodeClimate镜像：

  docker pull codeclimate/codeclimate:0.85.23
  

• 给镜像打上内部仓库标签（把internal-registry.example.com换成你们实际的内部镜像仓库地址）：

  docker tag codeclimate/codeclimate:0.85.23 internal-registry.example.com/codeclimate/codeclimate:0.85.23
  

• 推送到内部仓库：

  docker push internal-registry.example.com/codeclimate/codeclimate:0.85.23
  

2. 修改GitLab CI命令，指定内部镜像地址 #

在你的.gitlab-ci.yml里，给原来的docker run命令添加CODECLIMATE_IMAGE环境变量，告诉wrapper镜像去拉取内部仓库的核心镜像，而非Docker Hub：

docker run \
  --env SOURCE_CODE="$PWD" \
  --env CODECLIMATE_IMAGE=internal-registry.example.com/codeclimate/codeclimate:0.85.23 \
  --volume "$PWD":/code \
  --volume /var/run/docker.sock:/var/run/docker.sock \
  registry.gitlab.com/gitlab-org/ci-cd/codequality:0.85.24

3. 可选优化：预加载镜像到GitLab Runner #

如果你们的GitLab Runner是自行管理的，可以把同步好的内部CodeClimate镜像直接预加载到Runner所在服务器，这样CI运行时无需再拉取镜像，既提速又避免网络问题：

docker pull internal-registry.example.com/codeclimate/codeclimate:0.85.23

注意事项 #

• 确保内部镜像仓库地址是GitLab CI环境可正常访问的，且镜像推送操作成功完成。
• 版本号要严格对应：CodeQuality 0.85.24对应CodeClimate 0.85.23，不要随意更换版本，否则可能出现兼容性问题。

内容的提问来源于stack exchange，提问作者Aniko