如何通过Dockerfile安全传递任意数量的SSH密钥？

一、方案1的安全性确认 #

/dev/shm是基于内存的tmpfs文件系统，完全安全，不会被存入Docker镜像历史。Docker镜像层仅记录容器文件系统的持久化变更，tmpfs的内容在RUN指令执行完毕、容器销毁后就会彻底消失，不会被提交到镜像中。只要你在RUN里用完密钥后及时删除（或依赖tmpfs自动清理），就不用担心密钥泄露到镜像里。

二、方案2：Dockerfile内循环处理（可行） #

通过构建参数传递密钥名称列表，结合Docker的secret挂载功能，可以实现任意数量密钥的循环处理。以下是实际可运行的示例：

Dockerfile片段 #

# 接收密钥名称列表，用逗号分隔
ARG SSH_KEY_NAMES=

RUN apt-get update && apt-get install -y openssh-client && \
    mkdir -p ~/.ssh && chmod 700 ~/.ssh && \
    ssh-keyscan github.com >> ~/.ssh/known_hosts && chmod 644 ~/.ssh/known_hosts && \
    # 循环处理每个挂载的密钥
    IFS=',' read -ra KEY_LIST <<< "$SSH_KEY_NAMES"; \
    for KEY_NAME in "${KEY_LIST[@]}"; do \
        # 从secret挂载路径复制密钥到临时目录
        cp /run/secrets/$KEY_NAME ~/.ssh/id_rsa_$KEY_NAME && \
        chmod 600 ~/.ssh/id_rsa_$KEY_NAME && \
        # 配置SSH规则，对应仓库使用指定密钥
        echo -e "Host github.com-$KEY_NAME\n  HostName github.com\n  IdentityFile ~/.ssh/id_rsa_$KEY_NAME" >> ~/.ssh/config; \
    done && \
    # 拉取对应仓库（示例）
    git clone git@github.com-key1:your-user/repo1.git && \
    git clone git@github.com-key2:your-user/repo2.git && \
    # 清理密钥和配置
    rm -rf ~/.ssh/id_rsa_* ~/.ssh/config

构建命令示例 #

docker build --build-arg SSH_KEY_NAMES=key1,key2 \
  --mount=type=secret,id=key1,src=/local/path/to/key1 \
  --mount=type=secret,id=key2,src=/local/path/to/key2 \
  .

这种方式可以扩展到任意数量的密钥，只需在构建参数里添加名称、同时挂载对应的密钥文件即可。

三、方案3：直接传递密钥字符串给SSH（可行） #

利用Bash的进程替换功能，可将密钥字符串直接作为身份文件传递给SSH，无需写入磁盘。为避免多行字符串转义问题，建议用Base64编码传递：

Dockerfile片段 #

# 接收仓库与Base64编码密钥的JSON映射
ARG SSH_KEY_MAP='{}'

RUN apt-get update && apt-get install -y openssh-client jq && \
    mkdir -p ~/.ssh && chmod 700 ~/.ssh && \
    ssh-keyscan github.com >> ~/.ssh/known_hosts && chmod 644 ~/.ssh/known_hosts && \
    # 解析JSON并生成SSH配置
    jq -r 'to_entries[] | "\(.key) \(.value)"' <<< "$SSH_KEY_MAP" | while read REPO KEY_BASE64; do \
        echo -e "Host github.com-$REPO\n  HostName github.com\n  IdentityFile <(echo '$KEY_BASE64' | base64 -d)" >> ~/.ssh/config; \
    done && \
    # 拉取仓库（示例）
    git clone git@github.com-repo1:your-user/repo1.git && \
    git clone git@github.com-repo2:your-user/repo2.git && \
    # 清理配置
    rm ~/.ssh/config

构建命令示例 #

# 先将本地密钥转为Base64
KEY1=$(base64 -w0 /local/path/to/key1)
KEY2=$(base64 -w0 /local/path/to/key2)

# 传递JSON映射构建参数
docker build --build-arg SSH_KEY_MAP='{"repo1": "'"$KEY1"'", "repo2": "'"$KEY2"'"}' .

这种方式完全不需要挂载密钥文件，直接通过构建参数传递密钥内容，用完即清理，安全性拉满。

内容的提问来源于stack exchange，提问作者Zorgoth