如何非交互式为gpg-agent导入GPG私钥密码，实现Docker无交互拉取推送

背景 #

运营私有Docker Hub仓库，支持多客户端主机远程非交互式访问。此前可正常完成非交互式登录、拉取、推送、登出操作。Docker版本升级后，访问私有仓库需要GPG私钥，已在所有客户端和服务器导出相同私钥，现在能非交互式执行docker login，但执行docker pull/push时，gpg-agent会要求输入私钥密码，而docker pull没有非交互式输入密码的参数。

尝试的临时方案 #

思路是在docker pull前非交互式为gpg-agent导入密码，避免后续请求，但尝试以下命令后无效：

cat "$password_file" | gpg --batch --yes --status-fd --with-colons --passphrase-fd 0 --pinentry-mode loopback --symmetric --cipher-algo AES256 filename

相关配置：

• ~/.gnupg/gpg-agent.conf中配置：

  pinentry-program /usr/bin/pinentry-curses
  

• 另一种方案是移除GPG私钥密码，但会降低安全性，不考虑。

方案一：配置gpg-agent允许回环模式并提前解锁私钥 #

1. 修改~/.gnupg/gpg-agent.conf，添加或更新以下配置：

   pinentry-program /usr/bin/pinentry-curses
   allow-loopback-pinentry
   

   这条配置允许gpg通过回环模式接收密码，跳过交互式的pinentry程序。

2. 重启gpg-agent使配置生效：

   gpgconf --kill gpg-agent
   

3. 提前用密码解锁私钥，让gpg-agent缓存密码，后续docker pull不再触发密码请求：

   cat "$password_file" | gpg --batch --pinentry-mode loopback --passphrase-fd 0 --quick-sign -u <你的私钥指纹/关联邮箱> /dev/null
   

   其中-u指定要解锁的私钥标识（可用私钥指纹或绑定邮箱），通过快速签名空文件的操作触发gpg-agent加载并缓存密码，默认缓存10分钟，可通过default-cache-ttl和max-cache-ttl在gpg-agent.conf中调整时长。

方案二：临时会话中通过环境变量传递密码 #

1. 确保gpg-agent.conf已添加allow-loopback-pinentry并重启gpg-agent。
2. 在执行docker pull的会话中执行：

   export GNUPG_PASSPHRASE=$(cat "$password_file")
   docker pull <私有仓库镜像地址>
   unset GNUPG_PASSPHRASE
   

   注意：密码会短暂存在于环境变量中，仅限当前会话有效，退出后自动清空。

方案三：延长gpg-agent密码缓存时长 #

若需减少解锁频率，可在~/.gnupg/gpg-agent.conf中添加缓存配置：

default-cache-ttl 86400  # 缓存1天，单位秒
max-cache-ttl 604800     # 最大缓存7天

修改后重启gpg-agent即可生效。

内容的提问来源于stack exchange，提问作者jean-christophe manciot