如何在GitLab CI中将SSH私钥设为掩码变量？

问题背景 #

配置GitLab CI流水线通过SSH连接服务器时，遇到SSH私钥的变量处理难题：

• 原始私钥包含换行符，直接在GitLab CI/CD变量中添加无法正常掩码
• 强行去掉换行符后，私钥格式损坏，触发Error loading key "...": error in libcrypto错误
• 考虑过base64编码，但担心仅掩码编码内容存在泄露风险

正确解决方案 #

1. 在GitLab中添加掩码变量 #

直接在GitLab项目的CI/CD > 变量页面操作：

• 变量名设为SENTINEL_DB_RESET_SSH_KEY
• 变量值粘贴完整的原始SSH私钥（包含-----BEGIN OPENSSH PRIVATE KEY-----、换行的密钥内容和-----END OPENSSH PRIVATE KEY-----）
• 勾选掩码选项——GitLab支持对多行文本进行掩码处理，会自动在流水线日志中隐藏私钥内容

2. 调整流水线的before_script配置 #

修改流水线配置，将变量内容写入临时文件后再添加到ssh-agent，确保私钥格式完整：

reset_database:
  stage: .pre
  image: kroniak/ssh-client:latest
  resource_group: portal_test_vm_lock
  before_script:
    - |
      eval $(ssh-agent -s)
      set +x
      # 将变量中的私钥写入文件，保留原始格式
      echo "$SENTINEL_DB_RESET_SSH_KEY" > ~/.ssh/id_rsa
      chmod 600 ~/.ssh/id_rsa
      ssh-add ~/.ssh/id_rsa
      set -x
      mkdir -p ~/.ssh
      chmod 700 ~/.ssh
      touch ~/.ssh/known_hosts
      if ! grep -q "$PORTAL_INSTANCE" ~/.ssh/known_hosts; then
        ssh-keyscan "$PORTAL_INSTANCE" >> ~/.ssh/known_hosts
      fi
  script:
    - ssh root@$PORTAL_INSTANCE /path/to/script.sh "$CI_PIPELINE_ID"

注：原script中的ssh ssh属于冗余写法，已修正为ssh root@$PORTAL_INSTANCE

关键说明 #

• SSH私钥的换行是格式硬性要求，不能随意删除，否则会导致密钥解析失败（触发libcrypto错误）
• GitLab的掩码功能完全支持多行文本，只要粘贴完整私钥并勾选掩码，就能保证日志中不会泄露私钥
• 通过echo "$变量名"写入文件的方式，能完整保留私钥的换行和格式，避免变量传递过程中的格式损坏

内容的提问来源于stack exchange，提问作者k0pernikus