如何配置GitLab Pipeline使用带凭证的私有仓库服务镜像？

当然可以用GitLab Docker Runner实现这个需求！你提到的直接在services字段里嵌入凭证的写法虽然行不通，但GitLab提供了更规范的方式来配置私有仓库凭证，让Runner能顺利拉取你的私有MySQL镜像作为服务。

下面是具体的实现步骤：

1. 在项目中添加私有仓库的CI/CD变量 #

首先，把私有仓库的登录凭证存到GitLab项目的CI/CD变量里，既能保证安全，又能让Pipeline直接调用：

• 打开你的GitLab项目，进入「Settings」→「CI/CD」→「Variables」
• 添加以下变量（建议勾选「Masked」和「Protected」来避免凭证泄露）：
  • DOCKER_REGISTRY：你的私有仓库地址（比如registry.example.com）
  • DOCKER_REGISTRY_USER：私有仓库的登录用户名
  • DOCKER_REGISTRY_PASSWORD：私有仓库的登录密码/访问令牌

2. 配置.gitlab-ci.yml文件 #

在项目根目录的.gitlab-ci.yml中，先通过before_script完成私有仓库的登录，再指定私有镜像作为服务：

before_script:
  # 登录到私有Docker仓库，让Runner获得拉取镜像的权限
  - docker login -u $DOCKER_REGISTRY_USER -p $DOCKER_REGISTRY_PASSWORD $DOCKER_REGISTRY

services:
  # 指定私有仓库的MySQL镜像作为服务，可选alias字段方便后续访问时使用简化域名
  - name: $DOCKER_REGISTRY/modifiedForProductionMysql:latest
    alias: mysql

# 示例验证Job，测试服务是否正常可用
test_mysql_service:
  image: alpine:latest
  script:
    - apk add --no-cache mysql-client
    # 这里的mysql是上面设置的alias，对应服务容器的地址
    - mysql -h mysql -u <mysql内置用户名> -p<mysql内置密码> -e "SELECT VERSION();"

3. 确认Runner的配置权限 #

确保你的GitLab Docker Runner开启了privileged模式，否则可能无法执行docker login和拉取镜像的操作：

• 找到Runner的config.toml配置文件（通常位于/etc/gitlab-runner/目录下）
• 在[runners.docker]段落中设置：

  privileged = true
  

• 重启GitLab Runner服务让配置生效

补充说明 #

• 为什么不能直接在services里加凭证？GitLab的services字段不支持直接嵌入用户名密码这类敏感信息，必须先完成仓库登录，让Runner拥有拉取私有镜像的权限后，才能正常拉取服务镜像。
• 如果你的团队有多个项目需要访问同一个私有仓库，也可以把凭证配置到GitLab Runner的全局变量里，或者在Runner的config.toml中添加pull_policy = "if-not-present"来优化镜像拉取效率，避免重复下载。

内容的提问来源于stack exchange，提问作者makozaki