GitLab Pipeline推送外部仓库失败：SSH密钥格式错误排查

问题原因与修复步骤 #

1. CI/CD变量中私钥格式损坏 #

复制私钥到GitLab CI/CD变量时，常出现换行丢失、字符截断或多余空格的情况，导致ssh-add无法识别。

• 修复：打开本地私钥文件（如~/.ssh/id_rsa），完整复制所有内容（包括开头-----BEGIN OPENSSH PRIVATE KEY-----和结尾-----END OPENSSH PRIVATE KEY-----），粘贴到GitLab项目的SSH_PRIVATE_KEY变量中。确保粘贴时保留原始换行，若GitLab变量框默认去除换行，切换到多行输入模式后再粘贴。

2. 私钥格式不兼容CI环境 #

新版OpenSSH格式的私钥可能不被CI环境中旧版本的ssh-add支持。

• 修复：重新生成兼容的PEM格式RSA密钥：

  ssh-keygen -t rsa -b 4096 -m PEM
  

  用新生成的公钥更新Acquia仓库的SSH配置，私钥重新配置到CI/CD变量中。

3. echo命令导致的内容篡改 #

echo会自动处理换行或特殊字符，破坏私钥原始格式。

• 修复：改用printf加载私钥，或写入文件后再加载：
  方案一（推荐）：

  printf "%s" "$SSH_PRIVATE_KEY" | ssh-add -
  

  方案二：

  echo "$SSH_PRIVATE_KEY" > ~/.ssh/id_rsa
  chmod 600 ~/.ssh/id_rsa  # 必须设置600权限，否则SSH拒绝使用
  ssh-add ~/.ssh/id_rsa
  

4. 原配置的拼写错误 #

原.gitlab-ci.yml中ssh-keyscan输出的文件名写错，应为known_hosts而非known_host，这会导致后续SSH连接时无法验证主机。

• 修复：修改为：

  ssh-keyscan $GIT_URL >> ~/.ssh/known_hosts
  

验证步骤 #

• 本地测试：用ssh-add ~/.ssh/id_rsa和git push到Acquia仓库，确认私钥本身有效。
• CI临时检查：在before_script中添加echo "$SSH_PRIVATE_KEY" | head -5（仅输出前5行，避免泄露密钥），确认开头标记与本地一致。

修正后的完整.gitlab-ci.yml示例 #

build app:
  stage: build
  only:
    - feature/ci-cd-pipeline-v1
  before_script:
    - 'command -v ssh-agent >/dev/null || ( apt-get update -y && apt-get install openssh-client -y )'
    - eval $(ssh-agent -s)
    - printf "%s" "$SSH_PRIVATE_KEY" | ssh-add -
    - mkdir -p ~/.ssh
    - chmod 700 ~/.ssh
    - ssh-keyscan $GIT_URL >> ~/.ssh/known_hosts
    - git config user.email "ci@example.com"
    - git config user.name "CI"
    - git remote add acquia $GIT_URL
  script:
    - echo "Script will run"
    - git checkout -b feature/ci-cd-pipeline-v1
    - git push acquia feature/ci-cd-pipeline-v1

内容的提问来源于stack exchange，提问作者Sidney Sousa