不使用Dockerfile如何为Docker镜像安装CA根证书？

完全可以在不引入Dockerfile的前提下实现嵌入CA根证书的需求，以下是两种可直接落地的实现方案：

通用适配方案（兼容90%以上带shell的基础镜像） #

调整后的流水线步骤如下：

• 批量拉取上游镜像：docker pull RemoteRepository.com/${image_name}:${tag}
• 基于拉取的镜像启动后台临时容器：docker run -d --name temp_ca_container RemoteRepository.com/${image_name}:${tag} tail -f /dev/null
• 将预存在流水线安全变量/安全文件的CA根证书拷贝到容器的证书信任目录：
  • 适配Debian/Ubuntu/Alpine镜像：docker cp ./internal_root_ca.crt temp_ca_container:/usr/local/share/ca-certificates/internal_root_ca.crt
  • 适配RHEL/CentOS/Fedora镜像：docker cp ./internal_root_ca.crt temp_ca_container:/etc/pki/ca-trust/source/anchors/internal_root_ca.crt
• 在容器内执行证书更新命令，使根证书生效：
  • Debian/Ubuntu系：docker exec temp_ca_container update-ca-certificates
  • RHEL系：docker exec temp_ca_container update-ca-trust extract
  • Alpine系：docker exec temp_ca_container update-ca-certificates
• 停止临时容器，提交修改后的容器为目标私有仓库镜像：

  docker stop temp_ca_container
  docker commit temp_ca_container InternalACR.io/${image_name}:${tag}
  docker rm temp_ca_container
  

• 推送镜像到私有ACR：docker push InternalACR.io/${image_name}:${tag}

更轻量的无Docker daemon方案（适合纯流水线无Docker运行环境的场景） #

使用OCI镜像操作工具直接修改镜像层添加CA证书，全程不需要启动容器、也不需要调用Docker daemon：

• 预先在流水线节点安装crane工具
• 执行命令直接给镜像添加CA证书层并推送到私有仓库：
  crane mutate RemoteRepository.com/${image_name}:${tag} --append ./internal_root_ca.crt=/usr/local/share/ca-certificates/internal_root_ca.crt -t InternalACR.io/${image_name}:${tag}
  如果你的镜像本身会自动加载对应目录的证书，无需额外执行更新命令即可生效

注意事项：

1. 如果你的镜像属于无shell的distroless类型，优先选择crane方案，修改速度比docker commit快30%以上
2. CA根证书建议存储在Azure DevOps的安全变量/安全文件中，不要硬编码在流水线配置里
3. 可以根据团队常用的基础镜像类型，提前固化证书路径和更新命令，做成流水线模板批量适配所有镜像

内容的提问来源于stack exchange，提问作者Leonardo