如何在Tekton Task中使用Image PipelineResource并访问其镜像内容？

你遇到的问题根源在于：Image PipelineResource作为输入时，Tekton并不会自动将镜像内的文件挂载到工作目录。默认情况下，它只会传递镜像的元数据（比如URL、摘要等），所以你尝试访问的$(inputs.resources.my-data-image.path)路径其实并不存在。

要获取镜像内的内容，你需要在Task中添加额外步骤，手动拉取并解压镜像到工作目录。下面提供两种常用的实现方式：

方法一：使用Tekton官方的image extract工具 #

Tekton提供了内置工具可以直接提取镜像内容，你可以使用包含image命令的gcr.io/tekton-releases/github.com/tektoncd/cmd/git-init镜像来完成操作：

apiVersion: tekton.dev/v1alpha1
kind: Task
metadata:
  name: my-task
spec:
  inputs:
    resources:
      - name: my-data-image
        type: image
  steps:
    # 第一步：提取镜像内容到指定目录
    - name: extract-image-content
      image: gcr.io/tekton-releases/github.com/tektoncd/cmd/git-init:v0.30.0
      command: ["image"]
      # 将输入镜像的内容解压到/workspace/my-data-content目录
      args: ["extract", "$(inputs.resources.my-data-image.url)", "/workspace/my-data-content"]
      # 添加root权限避免解压时权限不足
      securityContext:
        runAsUser: 0
    # 第二步：查看提取后的内容
    - name: print-info
      image: image-registry.openshift-image-registry.svc:5000/default/my-task-runner-image:latest
      imagePullPolicy: Always
      command: ["/bin/sh"]
      args:
        - "-c"
        - >
          echo "List the contents of the extracted image" && ls -R "/workspace/my-data-content"

方法二：使用Skopeo工具 #

Skopeo是一款专门的容器镜像管理工具，也可以用来将镜像内容复制到本地目录：

apiVersion: tekton.dev/v1alpha1
kind: Task
metadata:
  name: my-task
spec:
  inputs:
    resources:
      - name: my-data-image
        type: image
  steps:
    # 第一步：用Skopeo复制镜像内容到本地目录
    - name: extract-with-skopeo
      image: quay.io/skopeo/stable:latest
      command: ["sh", "-c"]
      args:
        - >
          skopeo copy docker://$(inputs.resources.my-data-image.url) dir:/workspace/my-data-content
      securityContext:
        runAsUser: 0
    # 第二步：查看内容
    - name: print-info
      image: image-registry.openshift-image-registry.svc:5000/default/my-task-runner-image:latest
      imagePullPolicy: Always
      command: ["/bin/sh"]
      args:
        - "-c"
        - >
          echo "List the contents of the extracted image" && ls -R "/workspace/my-data-content"

关键注意事项 #

• 权限问题：解压镜像内容时通常需要root权限，添加securityContext: runAsUser: 0可以避免权限不足的报错。
• 镜像访问权限：确保Task运行所用的ServiceAccount有权限拉取my-data-image指定的镜像（比如在OpenShift环境中，需要配置对应的镜像拉取权限）。

内容的提问来源于stack exchange，提问作者Georgios F.