GitLab CI单阶段Kaniko构建：双Artifactory认证配置问题

核心问题在于Kaniko依赖/kaniko/.docker/config.json文件存储所有镜像仓库的认证信息，单独使用-u/-p参数或仅配置单个仓库的认证无法覆盖双仓库的需求。以下是可行的解决方案：

步骤1：确认GitLab变量配置 #

确保你已在GitLab项目的Settings > CI/CD > Variables中配置好两组独立凭证，且变量设置为Masked以避免泄露：

• ARTIFACTORY1_USER / ARTIFACTORY1_PASS：对应拉取基础镜像的Artifactory1/Repo1
• ARTIFACTORY2_USER / ARTIFACTORY2_PASS：对应推送成品镜像的Artifactory2/Repo2

步骤2：生成包含双仓库认证的config.json #

在GitLab CI的Kaniko任务中，直接生成覆盖默认路径的config.json，同时包含两个Artifactory的认证信息。这种方式比命令行参数更可靠，因为Kaniko会优先读取该文件的完整配置。

修改后的gitlab-ci.yml示例：

build-docker-image:
  image: gcr.io/kaniko-project/executor:debug
  stage: build
  script:
    # 生成包含双Artifactory认证的config.json
    - |
      cat > /kaniko/.docker/config.json << EOF
      {
        "auths": {
          "artifactory1.example.com/repo1": {
            "auth": "$(echo -n "$ARTIFACTORY1_USER:$ARTIFACTORY1_PASS" | base64)"
          },
          "artifactory2.example.com/repo2": {
            "auth": "$(echo -n "$ARTIFACTORY2_USER:$ARTIFACTORY2_PASS" | base64)"
          }
        }
      }
      EOF
    # 执行Kaniko构建并推送，无需额外-u/-p参数
    - /kaniko/executor \
        --context "$CI_PROJECT_DIR" \
        --dockerfile "$CI_PROJECT_DIR/Dockerfile" \
        --destination "artifactory2.example.com/repo2/your-image-name:$CI_COMMIT_SHA"
  only:
    - main

关键注意事项 #

1. 仓库地址匹配：config.json中auths的键必须与你Dockerfile中拉取基础镜像的地址、推送成品的地址完全一致（包括端口，例如使用artifactory1.example.com:5000而非仅域名）。
2. Base64编码正确性：使用echo -n避免将换行符加入编码内容，否则会导致认证失败。
3. HTTP仓库处理：如果你的Artifactory使用HTTP而非HTTPS，需要在config.json中添加insecure-registries字段：

{
  "auths": { ... },
  "insecure-registries": ["artifactory1.example.com/repo1", "artifactory2.example.com/repo2"]
}

4. 证书信任：如果HTTPS证书是自签名的，需将证书添加到Kaniko的信任链中，或使用--insecure参数（不推荐生产环境使用）。

为什么之前的方法无效？ #

Kaniko的--username/--password参数仅会为目标推送仓库临时添加认证，但不会合并到已有的config.json中。当你已有Artifactory1的配置时，这个临时认证可能被忽略，或者无法覆盖双仓库的认证需求。直接生成完整的config.json是最可靠的方式。

内容的提问来源于stack exchange，提问作者Nysa-522