如何在Windows容器中使用SSH密钥

如何解决如何在Windows容器中使用SSH密钥

我创建了一个包含Git客户端的Windows容器，并且能够使用HTTP从我们的Bitbucket服务器中克隆和签出。这意味着我需要为每次使用Git的交易提供用户名和密码。 我现在想使用SSH。因此，我已经使用ssh-keygen生成了一个SSH密钥，并将公钥添加到了我在Bitbucket中的用户帐户中，并且在我的本地PC上，当我使用Pageant加载密钥时，我能够与Bitbucket成功进行交易。

在容器中，我正在努力使其正常工作。 我在Dockerfile中找到了一些信息here，特别是命令Set-Service，Start-Service和Get-Service。 这样做可以解决问题，RUN printf "${SSH_KEY_PASSPHRASE}" | ssh-add C:\Users\Jenkins\.ssh\id_rsa行无法建立-无法识别printf。我尝试用echo替换它，但也失败了。

如果我从Dockerfile中删除此行，则可以构建并运行此容器；然后，我尝试通过Powershell会话进入它，并尝试手动运行ssh-add C:\Users\Jenkins\.ssh\id_rsa，但得到响应Could not open a connection to your authentication agent. 如果我运行Get-Service ssh-agent，它将报告ssh-agent正在运行。

所以我的问题如下：

1. 为什么ssh-add命令不起作用？
2. 如何在此容器中添加ssh密钥？
3. 当我使用ssh-add命令时，如何在Dockerfile中指定密码？

这是我的Dockerfile：

# escape=`

FROM mcr.microsoft.com/windows/servercore
ARG SSH_KEY_PASSPHRASE

COPY .\files\Git-2.18.0-64-bit.exe      C:\installers\git-installer.exe
COPY .\files\Git-2.18.0-64-bit.inf      C:\installers\git-installer-script.inf
RUN powershell -Command `
  # Install Git ; `
  Start-Process -filepath C:\installers\git-installer.exe -passthru -wait -argumentlist "/LOADINF=C:\installers\git-installer-script.inf","/VERYSILENT","/NORESTART" ; `
Remove-Item C:\installers\ -Force -Recurse;

RUN powershell -Command `
  net user /add Jenkins; `
  net localgroup Administrators Jenkins /add;
USER Jenkins
RUN powershell -Command `
  mkdir ~\.ssh;

COPY .\id_rsa  C:\Users\Jenkins\.ssh\id_rsa

RUN powershell -Command `
  # Make sure you're running as an Administrator `
  Set-Service ssh-agent -StartupType Automatic; `
  Start-Service ssh-agent; `
  Get-Service ssh-agent; 

# This doesn't work and I don't know how to do this
RUN  printf "${SSH_KEY_PASSPHRASE}" | ssh-add C:\Users\Jenkins\.ssh\id_rsa

---

编辑1

我现在发现，如果运行此容器（在dockerfile中没有ssh-add命令），然后使用ssh URL运行git clone，则表明无法建立位桶主机的真实性，您要继续连接吗？在输入密钥“ c / Users / Jenkins / .ssh / id_rsa”的密码短语之前，我输入“ yes”，然后“ 将我的位存储桶主机永久添加到已知主机列表”。 / p>

输入密码后，它将成功克隆存储库。 这个结果令我惊讶，并引发了一个新问题：

• 如果我还没有添加，它如何知道c / Users / Jenkins / .ssh中的ssh密钥？我显然在某处缺少了解。

---

编辑2

我玩了我的Dockerfile，发现该行 RUN powershell -Command mkdir ~\.ssh在某种程度上似乎很重要。 如果删除此行并运行容器，则可以看到我的密钥存在于C:\Users\Jenkins\.ssh\中，但是如果我运行ssh-add .\Users\Jenkins\.ssh\id_rsa，它将失败，并显示Permissions for id_rsa are too open。 如果我包含mkdir行，对我来说没有明显的区别，但是ssh-add命令似乎可以工作并报告Identity added: .\Users\Jenkins\.ssh\id_rsa (<my company domain>+<my windows username@PC name>)。

如果我没有手动创建.ssh文件夹，它似乎仍在COPY命令期间隐式创建，但是ssh-add失败。这是怎么回事？

接下来，我将ssh-add命令添加到我的Dockerfile中并对其进行了重建，可以看到已添加密钥-它报告了Identity added: .\Users\Jenkins\.ssh\id_rsa。

由于无法设置路径，目前我无法与Git进行交互，因此我在安装Git的命令中添加了以下几行，从而修改了Dockerfile来设置路径；

${env:PATH} = 'C:\Git\bin;C:\Git\usr\bin;C:\Git\mingw64\bin;' + $env:PATH;
[Environment]::SetEnvironmentVariable('PATH',${env:PATH},[EnvironmentVariableTarget]::Machine);

现在，当我构建映像时，ssh-add命令将失败，并显示“无法打开与身份验证代理的连接”。 我运行了Get-Service ssh-agent，报告它正在运行。

因此，以某种方式在路径中包含Git导致了ssh-add命令的不同之处。 这是怎么回事 我该如何解决？

我还重新创建了没有密码短语的密钥，因此删除了在docker构建期间输入密码短语的需要，我指定了Windows版本。

这是我更新的Dockerfile：

# escape=`

FROM mcr.microsoft.com/windows/servercore:1903

# Install Git
COPY .\files\Git-2.18.0-64-bit.exe      C:\installers\git-installer.exe
COPY .\files\Git-2.18.0-64-bit.inf      C:\installers\git-installer-script.inf
RUN powershell -Command `
  Start-Process -filepath C:\installers\git-installer.exe -passthru -wait -argumentlist "/LOADINF=C:\installers\git-installer-script.inf","/NORESTART" ; `
  Remove-Item C:\installers\ -Force -Recurse; `
  # Set the path to include Git folders - not listed in my original post `
  ${env:PATH} = 'C:\Git\bin;C:\Git\usr\bin;C:\Git\mingw64\bin;' + $env:PATH; `
  [Environment]::SetEnvironmentVariable('PATH',[EnvironmentVariableTarget]::Machine);

# Create a Jenkins user with admin permissions
RUN powershell -Command `
  net user /add Jenkins; `
  net localgroup Administrators Jenkins /add;
  USER Jenkins
# The presence or absence of this mkdir command affects ssh-add for some reason
RUN powershell -Command `
  mkdir ~\.ssh;

# This key was created without a passphrase
COPY .\id_rsa  C:\Users\Jenkins\.ssh\id_rsa

RUN powershell -Command `
  # Make sure you're running as an Administrator `
  Set-Service ssh-agent -StartupType Automatic; `
  Start-Service ssh-agent; `
  Get-Service ssh-agent; `
  ssh-add .\Users\Jenkins\.ssh\id_rsa;

---

编辑3

由于我发现了here的信息，因此似乎无法成功运行ssh-add是由于未设置SSH_AUTH_SOCK环境变量。
运行ssh-agent提供设置此环境变量所需的数据，在Linux中，您可以运行eval $(ssh-agent)，但Windows中的powershell无法识别eval命令。在此阶段，我尝试从上一个dockerfile中注释掉ssh-add命令，然后在容器内手动运行ssh-agent命令并使用$Env:SSH_AUTH_SOCK = "<value returned from ssh-agent>"设置环境变量，如果成功，则运行Get-ChildItem Env:我看到了这个新的环境变量。

然后，我尝试运行git clone ssh://git@mybitbucketurl/myrepo.git，该报告说“无法建立主机mybitbucketurl（xx.yy.zz.aa：port）的真实性。确定要继续吗（是/没有）？“
我输入“是”，并将其“永久添加mybitbucketurl：port，[xx.yy.zz.aa]：port（RSA）到已知主机列表中”，然后克隆了我的存储库。

我以为我现在已经破解了这个问题，以为我只需要弄清楚如何执行Powershell中的eval命令即可​​。在寻找有关如何执行此操作的线索时，我发现此link并给出了列出此命令的答案： ssh-agent ssh-add C:\Users\<username>\.ssh\id_rsa。 我尝试在容器中手动运行此程序，并报告已添加标识，但是当我尝试运行git clone时，它首先将URL添加到已知主机列表中，然后失败，并显示“致命：无法读取”从远程存储库中”。 运行Get-ChildItem Env:表明未设置SSH_AUTH_SOCK环境变量，因此我猜测像这样运行它是一个孤立的会话，尽管我真的不知道此命令的作用。

因此，从这里开始，看来我需要弄清楚如何运行ssh-agent命令并在powershell中使用其结果来永久设置环境变量。 完成该工作后，我需要确定如何将Git主机URL添加到已知主机列表中。

---

编辑4

我问题的症结似乎是docker映像的构建时间和运行时间之间的差异，尤其是我希望通过ssh-agent和ssh-add实现的目标之间的差异。 如果我将映像设置为包括ssh密钥然后运行它，则可以手动执行以下操作（请注意，我已从Powershell切换到bash）：

$ echo $SSH_AUTH_SOCK

$ eval $(ssh-agent)
Agent pid 2036
$ sh-add Users/Jenkins/.ssh/id_rsa
Identity added: Users/Jenkins/.ssh/id_rsa
$ echo $SSH_AUTH_SOCK
/tmp/ssh-qCM264wFqpqq/agent.1748

因此，从中我可以看到在容器运行时它可以实现我想要的功能。 但是，如果我尝试在构建时从Dockerfile运行这些命令，那么将无法正常运行。 经过一番思考，我怀疑eval $(ssh-agent)命令可能已运行，但是SSH_AUTH_SOCK环境变量未保留在映像层中，并且当容器运行时，ssh-agent将不会运行，可能需要启动某些命令它。

执行此操作的正确方法是什么

1. 我是否尝试通过启动脚本使这些命令在容器启动期间运行？
2. 有没有一种方法可以在构建时（即从Dockerfile中）执行此操作-要实现此目标，我将需要手动设置SSH_AUTH_SOCK环境变量，但是每次运行{{ 1}}-这值得追求吗？