使用新的 Bitbucket Pipelines 功能，我如何从它启动的 docker 容器通过 SSH 连接到我的暂存箱？
我的管道的最后一步是一个.sh 文件，它在暂存时部署必要的代码，但是因为我的暂存盒使用公钥身份验证并且不知道 docker 容器，所以 SSH 连接被拒绝。
在不使用 SSH 密码身份验证的情况下解决这个问题（这也会导致我不断选择通过公钥进行身份验证。）？
【问题讨论】：
标签： authentication ssh docker public-key bitbucket-pipelines
Bitbucket 管道可以使用您创建的 Docker 映像，该映像具有在构建期间运行的 ssh 客户端设置，只要它托管在可公开访问的容器注册表上。
Create a Docker image 你的 ssh 密钥在某处可用。该图像还需要在容器将运行的用户下具有host key for your environment(s) saved。这通常是root 用户，但如果您的Dockerfile 中有USER 命令，则可能会有所不同。
您可以复制已填充的 known-hosts 文件，或在映像构建时动态配置文件：
RUN ssh-keyscan your.staging-host.com
将您的图像发布到可公开访问但私有的注册表。您可以host your own 或使用Docker Hub 之类的服务。
Configure pipelines to build with your docker image.
如果你使用 Docker Hub
image:
name: account-name/java:8u66
username: $USERNAME
password: $PASSWORD
email: $EMAIL
或您自己的外部注册表
name: docker.your-company-name.com/account-name/java:8u66
您不想让 ssh 密钥访问您在世界各地飞行的主机，因此我还将这些部署 ssh 密钥的访问权限限制为 only run your deploy commands。
暂存主机上的authorized_keys 文件：
command="/path/to/your/deploy-script",no-agent-forwarding,no-port-forwarding,no-X11-forwarding ssh-dss AAAAC8ghi9ldw== deploy@bitbucket
不幸的是 bitbucket don't publish an IP list to restrict access to，因为他们使用共享基础架构进行管道。如果它们碰巧在 AWS 上运行，那么亚马逊会使用 publish IP lists。
from="10.5.0.1",command="",no-... etc
还记得时不时地给它们约会并让它们过期。我知道 ssh 密钥不会强制执行日期，但无论如何这样做是个好主意。
【讨论】：
您现在可以在管道设置下设置 SSH 密钥，这样您就不需要拥有私有 docker 映像来存储 ssh 密钥。它也是从您的源代码中提取的，因此您的存储库中也没有它。
下
Settings -> Pipelines -> SSH keys
您可以提供密钥对或生成新的密钥对。私钥将被放入位于~/.ssh/config 的docker 容器中，并为您提供一个公钥，您可以将其放入您的主机中的~/.ssh/authorized_keys 文件中。当在 docker 上运行时，该页面还需要一个 ip 或名称来设置已知主机的指纹。
此外，Bitbucket 还提供了 IP 地址，如果需要，您可以将其列入白名单，以便启动 docker 容器。他们是currently：
【讨论】：