Dockerfile构建镜像如何实现容器启动后自动加载SSH密钥

RUN指令内启动ssh-agent的写法本身就不可能生效，核心逻辑：

• Dockerfile每一条RUN都运行在独立的临时shell会话中，命令执行结束后会话直接销毁，会话内启动的后台进程（包括ssh-agent）、设置的环境变量全部会被清除，既不会写入镜像层，也不会继承到容器运行阶段。
• ssh-add必须通过SSH_AUTH_SOCK、SSH_AGENT_PID两个环境变量和运行中的ssh-agent进程通信，构建阶段临时启动的agent早已退出，容器启动后是全新的进程环境，自然会报连接认证代理失败的错误。

步骤1：编写容器启动入口脚本 #

在Dockerfile同目录下创建entrypoint.sh文件，内容如下：

#!/bin/bash
# 启动ssh-agent并加载环境变量
eval $(ssh-agent -s)
# 添加预置的SSH密钥
ssh-add /root/.ssh/ok
# 执行用户传入的启动命令
exec "$@"

执行以下命令给脚本添加可执行权限：

chmod +x entrypoint.sh

步骤2：调整Dockerfile配置 #

修改原有Dockerfile，将启动脚本复制到镜像内并设为默认入口：

FROM cmf
# 复制启动脚本到镜像系统路径
COPY entrypoint.sh /usr/local/bin/entrypoint.sh
# 配置容器默认入口
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]
# 默认启动交互式bash
CMD ["/bin/bash"]

步骤3：重新构建验证 #

执行构建命令生成新镜像：

docker build --no-cache -t intro_to_docker2 .

启动容器：

docker run -it intro_to_docker2

进入容器后执行ssh-add -l即可看到成功加载的密钥信息。

如果不想单独维护entrypoint脚本，也可以直接把启动逻辑写到ENTRYPOINT指令中，省去复制文件的步骤：

FROM cmf
ENTRYPOINT ["bash", "-c", "eval $(ssh-agent -s) && ssh-add /root/.ssh/ok && exec \"$@\"", "--"]
CMD ["/bin/bash"]

这种写法效果和独立脚本完全一致，但逻辑复杂时可读性较差，仅适合简单场景使用。

• 不推荐把ssh-agent启动逻辑写到/root/.bashrc或/root/.profile中：这类配置仅在启动交互式登录shell时才会加载，如果你容器启动时直接执行ssh、业务服务类的非shell命令，逻辑不会触发，且多次启动shell会生成大量冗余的ssh-agent僵尸进程。
• 不要在构建阶段执行ssh-add操作：构建阶段的所有进程状态都不会持久化到运行时，属于完全无效的操作。

内容的提问来源于stack exchange，提问作者Rahul anand