如何在Docker内下载Azure DevOps通用包并基于CentOS8构建自定义镜像

前置准备 #

• 提前从Azure DevOps侧拿到必填信息：对应组织名、通用包源的标识、要安装的自定义包ID、精确到版本号的包版本、拥有包装读权限的个人访问令牌（PAT）
• 提前确认选用的CentOS 8基础镜像的Digest值，避免拉取到被篡改的上游镜像
• 明确CentOS 8已经停止官方维护，默认配置的在线yum源已失效，构建时必须先替换为归档源，不然所有安装操作都会直接报网络错误

步骤1：搭建Dockerfile基础骨架 #

• Dockerfile第一行直接指定使用的CentOS 8基础镜像，如FROM centos:8
• 第一个RUN块里完成基础环境初始化：替换失效的CentOS官方源为归档路径，执行yum install -y curl ca-certificates yum-utils gnupg2安装构建必需的最小依赖，清空yum缓存后重新生成本地索引
• 基础层不要安装多余的工具包，尽可能控制整体镜像的最终体积

步骤2：配置Azure DevOps通用包源的连接认证 #

• 在同一个RUN层里配置Azure CLI的RPM源，安装Azure CLI核心组件和Azure DevOps扩展模块
• 通过Docker构建的--build-arg参数传入提前准备的PAT值，绝对不要把PAT明文写进Dockerfile的持久行，避免敏感信息被打包进镜像层
• 配置Azure CLI的默认上下文，关联对应的DevOps组织、项目和通用包源，执行一次包列表查询操作，确认认证链路连通

步骤3：拉取并安装自定义软件包 #

• 调用az artifacts universal download命令，把指定版本的自定义安装包拉到镜像内的临时目录下
• 用yum localinstall命令完成自定义包的部署，安装过程中自动从CentOS归档源解析所需的系统依赖
• 安装完成后立刻删除临时目录里的安装包文件、清空剩余的yum缓存

步骤4：优化层结构完成最终自定义镜像构建 #

• 把所有涉及凭据、临时文件清理的操作全部合并到同一个RUN指令块里，避免敏感信息残留在中间镜像层造成泄露
• 给镜像配置非root的默认运行用户、固定的工作目录，减少镜像的运行时安全风险
• 执行docker build命令，把PAT值作为构建参数传入，完成自定义镜像的打包
• 构建完成后启动临时容器做校验：确认自定义软件包的功能可正常运行，检查所有镜像层里没有遗留PAT等敏感信息

实操避坑提示

• 拉取Azure DevOps通用包的时候一定要写死精确的版本号，不要依赖latest浮动标签，不然不同时间构建的镜像内容会不一致，排障成本很高
• CentOS 8默认源失效是构建时最高发的报错点，如果遇到yum报404，直接检查源配置是不是还指向已下线的官方mirror地址
• 如果自定义包的安装包体积较大，不要在下载、安装、清理的操作中间拆分多个RUN层，不然会把大体积的安装包永久留在镜像层里，导致最终镜像体积比预期大几倍

内容的提问来源于stack exchange，提问作者sblive