Gitlab容器镜像拉取通知配置及旧标签更新提醒方案咨询

方案一：基于GitLab审计日志+脚本实现旧标签拉取通知 #

GitLab容器仓库本身没有直接触发拉取事件的Webhook，但可以通过定时扫描审计日志的方式实现目标：

• 1. 启用审计日志：在自托管GitLab管理员后台的设置 > 监控 > 审计日志中开启审计日志功能，确保记录容器镜像拉取操作。
• 2. 编写扫描脚本：定时调用GitLab的GET /audit_events API，筛选出操作类型为container_repository_pull、目标镜像标签为旧标签的事件。
• 3. 关联责任人：从审计事件中提取发起拉取的用户ID，通过GET /users/:id接口获取用户联系方式；如果拉取由CI流水线触发，可通过事件中的project_id和pipeline_id调用GET /projects/:id/pipelines/:pipeline_id接口，获取流水线的创建者信息。
• 4. 发送通知：集成邮件或Slack客户端，向对应责任人发送镜像标签更换提醒。

方案二：在项目流水线中添加旧标签检测步骤 #

这个方案更直接，在每个使用该镜像的项目CI/CD配置中嵌入检测逻辑：

• 1. 修改项目的.gitlab-ci.yml，新增检测阶段：

stages:
  - check-image-tag
  - build
  # 保留原有其他阶段

check-image-tag:
  stage: check-image-tag
  image: alpine:latest
  before_script:
    - apk add --no-cache grep
  script:
    # 替换为你的旧镜像地址
    - OLD_IMAGE="registry.example.com/your-project/your-image:old-tag"
    - if grep -r "$OLD_IMAGE" --include="Dockerfile" --include=".gitlab-ci.yml" .; then
        echo "检测到使用过时镜像标签，请更换为 new-tag";
        # 发送邮件通知
        echo "主题：镜像标签更新提醒\n内容：你的项目仍在使用过时的镜像标签old-tag，请尽快更换为new-tag" | sendmail $GITLAB_USER_EMAIL;
        # 发送Slack通知（需提前在项目CI/CD变量中配置SLACK_WEBHOOK_URL）
        curl -X POST -H "Content-Type: application/json" -d '{"text":"你的项目使用了过时的镜像标签old-tag，请更换为new-tag"}' $SLACK_WEBHOOK_URL;
        # 可选：强制终止流水线以强化提醒
        exit 1;
      fi
  only:
    - branches
    - tags

• 2. 配置通知变量：在项目设置 > CI/CD > 变量中添加SLACK_WEBHOOK_URL（若使用Slack通知），确保流水线具备发送邮件或Slack消息的权限。
• 3. 批量推广：如果涉及项目较多，可通过GitLab API批量修改相关项目的CI配置，或者创建CI模板项目让用户直接引用，后续更新只需调整模板即可。

额外建议 #

• 可以创建自定义CI模板项目，让所有相关项目引用该模板，后续标签更新无需逐个修改项目配置。
• 可在镜像仓库设置保留策略，在提前通知后删除旧标签，强制用户切换到新标签，但需评估业务影响。

内容的提问来源于stack exchange，提问作者ashishpm