如何在Kustomize构建命令中传递Git凭证？Jenkins自动化场景

下面是几个在Jenkins Pipeline中为kustomize提供私有Git仓库凭证的可行方案，都是实际项目里验证过的：

1. 借助Git凭证助手自动完成认证 #

kustomize拉取Git资源时，底层是调用本地Git客户端来实现的，所以只要让Jenkins节点上的Git能自动完成私有仓库的认证，kustomize就能顺利拉取资源。你可以利用Jenkins的凭证管理功能绑定账号密码或个人访问令牌，然后临时配置Git的凭证助手：

pipeline {
    agent any
    stages {
        stage('Build with Kustomize') {
            steps {
                withCredentials([usernamePassword(
                    credentialsId: 'gitlab-private-repo-creds',
                    usernameVariable: 'GIT_USER',
                    passwordVariable: 'GIT_TOKEN'
                )]) {
                    sh '''
                        # 临时配置Git使用凭证助手存储凭证
                        git config --global credential.helper 'store --file=/tmp/git-credentials'
                        echo "https://${GIT_USER}:${GIT_TOKEN}@gitlab.com" > /tmp/git-credentials
                        # 执行kustomize构建
                        kustomize build .
                        # 清理临时凭证文件，避免泄露
                        rm /tmp/git-credentials
                        git config --global --unset credential.helper
                    '''
                }
            }
        }
    }
}

这个方案的优势是不需要修改你现有的kustomization.yaml，Git会自动处理认证流程，完全避免在配置文件里暴露敏感凭证。

2. 动态替换资源URL为带凭证的格式 #

你可以在Pipeline中临时修改kustomization.yaml里的资源URL，插入Git凭证（注意绝对不要把带凭证的文件提交到仓库）：

pipeline {
    agent any
    stages {
        stage('Prepare Kustomize Config') {
            steps {
                withCredentials([usernamePassword(
                    credentialsId: 'gitlab-private-repo-creds',
                    usernameVariable: 'GIT_USER',
                    passwordVariable: 'GIT_TOKEN'
                )]) {
                    sh '''
                        # 替换资源URL，加入凭证信息
                        sed -i 's|https://gitlab.com/my-user/k8s-base-cfg.git|https://${GIT_USER}:${GIT_TOKEN}@gitlab.com/my-user/k8s-base-cfg.git|' kustomization.yaml
                        # 执行构建
                        kustomize build .
                        # 恢复原配置文件，避免影响后续操作
                        git checkout kustomization.yaml
                    '''
                }
            }
        }
    }
}

这个方案操作直接，如果你用的是GitLab的个人访问令牌，用户名可以填任意值，把令牌填到密码字段就行。记得一定要恢复原配置文件，防止凭证被意外提交。

3. 使用SSH密钥认证（更安全的长期方案） #

如果你的私有仓库支持SSH访问，推荐用这种方式，不会在命令行或配置文件中明文暴露凭证：

1. 先在Jenkins凭证管理中添加SSH私钥凭证，把credentialsId设为gitlab-ssh-key
2. 在Pipeline中使用SSH代理插件自动加载密钥：

pipeline {
    agent any
    stages {
        stage('Build with Kustomize') {
            steps {
                sshagent(['gitlab-ssh-key']) {
                    # 可选：先测试SSH连接是否正常
                    sh 'ssh -T git@gitlab.com'
                    # 修改资源URL为SSH格式
                    sh '''
                        sed -i 's|https://gitlab.com/my-user/k8s-base-cfg.git|git@gitlab.com:my-user/k8s-base-cfg.git|' kustomization.yaml
                        kustomize build .
                        # 恢复原配置文件
                        git checkout kustomization.yaml
                    '''
                }
            }
        }
    }
}

这个方案安全性最高，适合长期稳定的CI/CD流程使用。

内容的提问来源于stack exchange，提问作者Fernando Lozano