Azure DevOps 2021限制Dockerfile修改或无Dockerfile构建方案咨询

方案一：限制Dockerfile仅指定人员可修改 #

通过Azure DevOps的分支路径权限规则实现精准管控：

• 进入目标项目，依次打开Repos > 分支，找到生产部署对应的主干分支（如main、master），点击右侧更多选项选择「分支策略」
• 下拉找到「路径筛选器」，新增规则：路径填写代码库中Dockerfile的对应路径（如根目录下为/Dockerfile，子目录内则填写完整相对路径），权限配置为仅你本人账号拥有推送/合并权限，其余所有账号的对应权限设为「拒绝」
• 同步开启该分支的「必须通过拉取请求才能合并」规则，禁止直接向分支提交代码

方案二：CICD流程自动下发标准Dockerfile #

将经过验证的Dockerfile模板内置到CI管道，直接覆盖代码库中的文件，彻底避免代码库修改带来的影响：

• 整理好符合依赖要求的标准Dockerfile内容，上传至Azure DevOps的管道 > 库 > 安全文件中，设置文件仅可被管道访问
• 在CI流程的最开始新增「下载安全文件」任务，将存储的标准Dockerfile下载到构建Agent的工作目录中，直接覆盖代码库目录下的Dockerfile
• 后续的镜像构建步骤统一使用Agent本地的标准Dockerfile执行，即使代码库中的Dockerfile被篡改也不会生效
• 若需要适配不同项目的差异化配置，可在模板中设置占位符，下载完成后通过sed（Linux Agent）或PowerShell命令替换占位符为对应的管道变量值即可

方案三：无Dockerfile项目构建 #

使用云原生Buildpacks实现零Dockerfile构建，完全不需要代码库中存在Dockerfile文件：

• 提前在构建Agent中安装Cloud Native Buildpacks的pack CLI工具，或直接使用预装了该工具的Agent镜像
• 删除原有CI流程中的docker build相关任务，替换为pack构建命令：pack build <镜像名称> --builder <对应语言的官方builder镜像> --publish <镜像仓库地址>
• Buildpacks会自动识别项目的语言栈、依赖版本，自动生成符合规范的容器镜像，全程不需要调用Dockerfile
• 若使用.NET、Java等微软官方适配的语言，可直接使用Azure DevOps内置的「构建容器镜像」任务的无Dockerfile模式，选择自动检测项目配置即可完成构建

内容的提问来源于stack exchange，提问作者Ali Bagheri