如何禁止用户直接推送镜像至GitLab容器仓库并管控Dockerfile？

刚好做过类似的镜像合规管控需求，我来一步步给你拆解实现方案：

1. 先锁死普通用户的镜像推送权限 #

首先要把GitLab容器仓库的推送权限只留给CI/CD服务账号，普通用户只能拉取，不能自己推镜像。操作很简单：

• 进入你的GitLab项目，打开「Settings」→「Repository」→「Permissions」
• 找到「Container registry」板块，把Developer及以下角色的权限设置为「Read-only」
• 注意：GitLab的CI_JOB_TOKEN（流水线用的服务账号）默认拥有推送权限，这个一定要保留，不然流水线没法把构建好的镜像推到仓库里

2. 用GitLab CI/CD自动构建镜像，同时校验Dockerfile合规性 #

接下来写一个.gitlab-ci.yml，让GitLab在代码（包括Dockerfile）推送时自动做两件事：先检查Dockerfile是不是只从Redhat专属仓库拉资源，再构建镜像推到仓库。给你个实用的示例：

stages:
  - validate-dockerfile
  - build-and-push

# 第一步：校验Dockerfile是否符合要求
validate-dockerfile:
  stage: validate-dockerfile
  image: alpine:latest
  script:
    # 检查所有FROM指令是否来自Redhat专属仓库（替换成你的实际仓库地址）
    - NON_REDHAT_FROM=$(grep -n '^FROM' Dockerfile | grep -v -E 'registry\.redhat\.io/|your-internal-redhat-registry\.com/')
    - if [ -n "$NON_REDHAT_FROM" ]; then echo "❌ 发现非Redhat专属仓库的基础镜像：$NON_REDHAT_FROM"; exit 1; fi
    # 额外检查：禁止添加非Redhat官方源的操作
    - if grep -E 'RUN yum install.*--enablerepo=|RUN dnf install.*--enablerepo=' Dockerfile; then echo "❌ 禁止添加非Redhat官方软件源"; exit 1; fi
  allow_failure: false # 校验不通过直接终止流水线

# 第二步：构建并推送镜像到GitLab容器仓库
build-and-push:
  stage: build-and-push
  image: docker:latest
  services:
    - docker:dind
  variables:
    # 镜像命名规则：仓库地址/分支名/提交哈希，方便追踪
    IMAGE_TAG: $CI_REGISTRY_IMAGE/$CI_COMMIT_REF_SLUG:$CI_COMMIT_SHA
  script:
    # 用CI_JOB_TOKEN自动登录GitLab容器仓库
    - docker login -u $CI_REGISTRY_USER -p $CI_JOB_TOKEN $CI_REGISTRY
    # 构建镜像
    - docker build -t $IMAGE_TAG .
    # 推送到仓库
    - docker push $IMAGE_TAG
  only:
    - main # 只在主分支（或你指定的受保护分支）触发构建
  dependencies:
    - validate-dockerfile # 必须通过校验才能执行构建

这个流水线会先卡Dockerfile的合规性，只有全符合要求的才会进入构建环节，从源头保证镜像都是基于Redhat专属仓库构建的。

3. 用合并请求（MR）管控Dockerfile的修改 #

要确保所有Dockerfile的改动都经过审核，得设置保护分支和MR审批流程：

• 打开项目的「Settings」→「Repository」→「Protected branches」，把主分支（比如main）设为保护分支，只有指定的审核人员（比如Maintainer角色）能合并MR
• 开启「Require approval from code owners」，把Dockerfile的代码所有者设为你的审核团队——这样任何修改Dockerfile的MR都必须经过他们签字才能合并
• 可以在MR模板里加要求，比如提交者必须说明修改原因、使用的基础镜像版本，方便审核

4. 加固镜像拉取的权限控制 #

最后确认容器仓库的拉取权限只开放给项目已认证用户：

• 进入「Packages & Registries」→「Container Registry」，确认仓库是Private状态（GitLab默认就是私有，但可以再检查一下）
• 如果需要更细粒度的控制，在「Settings」→「Permissions」里调整不同角色的拉取权限，比如只给项目成员开放拉取权限

这样一套流程走下来，用户只能通过推送Dockerfile到GitLab，经过审核和CI构建后拿到合规镜像，完全没法自己推镜像到仓库，而且Dockerfile的合规性也有双重保障（流水线自动校验+人工审核）。

内容的提问来源于stack exchange，提问作者Ijaz Ahmad