在Kubernetes中使用Kaniko构建Azure DevOps仓库的认证方案咨询

Kaniko确实支持通过内置参数处理Azure DevOps的PAT认证，不需要额外封装工具。你之前尝试的GIT_TOKEN等环境变量Kaniko并不直接支持，而SSH方式需要使用SSH密钥而非PAT，所以正确的做法是利用Kaniko的--git-config参数传递http.extraHeader配置。

正确的容器配置示例 #

首先修正你的Kaniko容器配置，补充完整仓库地址并添加--git-config参数：

containers:
  - name: kaniko
    image: gcr.io/kaniko-project/executor:latest
    args:
      - "--context=https://dev.azure.com/yourOrgName/yourProjectName/_git/yourRepoName"
      - "--destination=build:1.0.0"
      - "--dockerfile=dockerfile"
      - "--git-config=url.https://dev.azure.com/.extraheader=Authorization: Basic ${B64_PAT}"

关键细节说明 #

• 生成Base64编码的PAT：
  Azure DevOps的HTTP认证要求将PAT转换为Base64格式，格式为:你的PAT（注意前面的冒号，因为用户名留空）。执行以下命令生成编码值：

  echo -n ":your_pat_here" | base64
  

• 安全传递PAT：
  不要直接在配置中硬编码PAT，建议将其存储为Kubernetes Secret，然后通过环境变量注入：

  env:
    - name: B64_PAT
      valueFrom:
        secretKeyRef:
          name: azdo-pat-secret
          key: b64-pat
  

• 完整的Context URL：
  确保--context参数指向完整的仓库地址，格式为https://dev.azure.com/组织名/项目名/_git/仓库名，否则Kaniko无法正确克隆仓库。

为什么之前的尝试失败 #

• SSH方式：Azure DevOps的SSH认证需要绑定SSH公钥到你的账号，不能直接用PAT作为用户名，所以ssh://PAT@repo的方式不生效。
• GIT_TOKEN等环境变量：Kaniko的executor镜像并未内置支持这些环境变量来自动设置git认证，必须通过--git-config显式传递配置。

内容的提问来源于stack exchange，提问作者Nico