基于GitLab Auto DevOps构建Docker镜像并推送至AWS的技术问询

背景 #

作为精通Docker、Jenkins、Git、Kubernetes的资深开发者，需将原Jenkins任务（从Git拉取代码、构建Docker镜像并推送至AWS ECR）迁移至外部团队管理的GitLab实例，本人在所属群组拥有所有者权限。最初编写的CI脚本尝试在job中预装工具，但发现GitLab构建运行在无直接访问权限的Kubernetes集群容器中（属于Auto DevOps范畴），现针对三个技术问题解答如下：

1. 如何在Auto DevOps提供的Runner中预装工具？以我的权限是否可行？即如何构建并指定任务运行的容器镜像？ #

可行，作为群组所有者，无需修改外部团队管理的Runner集群配置，通过以下两种方式实现：

• 自定义任务镜像并指定：自行构建包含curl、AWS CLI、Docker等所需工具的镜像（比如基于官方alpine或ubuntu镜像，在Dockerfile中安装所有依赖），然后在.gitlab-ci.yml中通过image:字段指定该镜像，示例：

  build:
    image: your-registry/custom-ci-image:latest
    script:
      # 直接使用预装工具执行任务
      - docker build ...
      - aws ecr ...
  

• 群组级默认镜像配置：若要给群组内所有项目统一使用预装工具的镜像，可进入群组的「Settings > CI/CD > Runners」，在「Default image」中设置自定义镜像地址，所有未单独指定image:的job都会使用这个默认镜像。

2. 能否通过Auto DevOps构建Docker镜像？已知Docker In Docker（DIND）但文档难以理解。 #

完全可以，DIND是GitLab CI中构建Docker镜像的标准方案，配置简单，以下是实用的示例配置：

stages:
  - build

build-and-push-ecr:
  stage: build
  # 使用带Docker客户端的镜像，也可以用你自己预装了AWS CLI的自定义镜像
  image: docker:latest
  # 启动DIND服务作为Docker守护进程
  services:
    - docker:dind
  # 配置DIND的TLS连接变量
  variables:
    DOCKER_HOST: tcp://docker:2376
    DOCKER_TLS_CERTDIR: "/certs"
    DOCKER_TLS_VERIFY: 1
    DOCKER_CERT_PATH: "$DOCKER_TLS_CERTDIR/client"
  before_script:
    # 验证Docker连接
    - docker info
    # 配置AWS凭证（建议用GitLab CI/CD变量存储敏感信息）
    - aws configure set aws_access_key_id $AWS_ACCESS_KEY_ID
    - aws configure set aws_secret_access_key $AWS_SECRET_ACCESS_KEY
    - aws configure set region $AWS_REGION
  script:
    # 构建镜像
    - docker build -t $ECR_REPO_URL/$IMAGE_NAME:$CI_COMMIT_SHORT_SHA .
    # 登录ECR并推送
    - aws ecr get-login-password | docker login --username AWS --password-stdin $ECR_REPO_URL
    - docker push $ECR_REPO_URL/$IMAGE_NAME:$CI_COMMIT_SHORT_SHA

说明：docker:dind服务会在job运行时启动一个独立的Docker守护进程，job中的Docker客户端通过DOCKER_HOST变量连接该守护进程完成镜像构建。如果不想每次在job中安装AWS CLI，直接把它打包到自定义镜像中替换docker:latest即可。

3. 请简要说明GitLab除代码仓库和类Jenkins功能外的核心定位。 #

GitLab是全生命周期DevOps一体化平台，核心是将软件从规划到运维的全流程整合在同一平台内，核心能力包括：

• 项目管理：Issue跟踪、敏捷看板（Scrum/Kanban）、Epic与里程碑规划、需求管理
• 代码质量管控：内置Merge Request代码审查、静态代码分析、代码覆盖率统计、代码规范检查
• DevSecOps集成：SAST静态安全测试、DAST动态安全测试、容器镜像扫描、依赖漏洞检测、敏感信息泄露检测
• 部署与运维：原生Kubernetes集成、多环境部署管理、应用监控与告警、日志聚合分析
• 知识库与协作：项目Wiki、文档管理、团队协作讨论区
• 合规与权限：精细化角色权限控制、全链路审计日志、合规性报告生成

内容的提问来源于stack exchange，提问作者Richard