如何让系统中的gitlab-runner用户可正常访问docker-credential-pass

你遇到的报错本质是两个环境限制叠加导致的：

• GnuPG密钥的用户隔离特性：你创建的用于存储docker凭证的GPG私钥仅存在于gitlab-runner用户的家目录/home/gitlab-runner/.gnupg/下，freshuser用户的密钥环中没有对应私钥，解密时直接触发gpg: decryption failed: No secret key报错。
• 图形会话环境变量缺失：你直接登录gitlab-runner账户时弹出的密码提示框是pinentry程序的图形化验证窗口，只有在当前用户拥有完整图形会话环境时才会触发。如果你用su/sudo从freshuser切换到gitlab-runner用户，默认不会继承当前图形会话的DISPLAY、DBUS_SESSION_BUS_ADDRESS环境变量，pinentry找不到活跃图形会话，就不会弹出密码框，直接静默失败。

分两种场景处理：

场景1：在freshuser桌面环境下调试gitlab-runner的docker登录逻辑 #

切换用户时增加参数继承当前会话的环境变量即可：

sudo -E -u gitlab-runner bash

参数说明：-E会保留当前freshuser的所有环境变量，确保pinentry可以正常弹出密码输入框。

场景2：解决CI流水线自动运行时的登录报错 #

CI运行时没有图形会话，不可能手动输入密码，推荐两种适配方案：

• 方案一：修改GnuPG配置，将pinentry程序替换为非图形版本
  编辑/home/gitlab-runner/.gnupg/gpg-agent.conf，添加如下配置：

pinentry-program /usr/bin/pinentry-tty

再给对应GPG密钥设置空密码，避免运行时需要输入验证。

• 方案二：禁用docker-credential-pass，直接明文存储凭证（仅适用于私有部署的安全可控环境）
  修改/home/gitlab-runner/.docker/config.json，删除credsStore字段，直接写入镜像仓库的认证信息：

{
  "auths": {
    "你的镜像仓库域名": {
      "auth": "base64编码的<用户名>:<密码>"
    }
  }
}

你可以用echo -n "用户名:密码" | base64生成对应的auth字段值。

内容的提问来源于stack exchange，提问作者0x01Brain