使用 gitlab runner 和 gitlab-ci 自动本地部署 docker 容器，无需特权用户答案

【问题标题】：Automate local deployment of docker containers with gitlab runner and gitlab-ci without privileged user使用 gitlab runner 和 gitlab-ci 自动本地部署 docker 容器，无需特权用户
【发布时间】：2020-09-16 13:58:50
【问题描述】：

我们有一个面向原型的开发环境，其中正在开发许多小型服务并将其部署到我们的本地硬件。我们使用 GitLab 来管理我们的代码和 GitLab CI/CD 以进行持续集成。作为下一步，我们还希望自动化部署过程。不幸的是，我们发现的所有文档都使用云服务或 Kubernetes 集群作为目标环境。但是，我们希望以一种在本地部署 docker 容器的方式配置我们的 GitLab 运行器。同时，我们希望避免为运行程序使用特权用户（因为我们的服务器到目前为止完全通过 Ansible / Portainer 等服务进行维护）。

通常，我们的.gitlab-ci.yml 看起来像这样：

stages:
  - build
  - test
  - deploy

dockerimage:
  stage: build
  # builds a docker image from the Dockerfile in the repository, and pushes it to an image registry

sometest:
  stage: test
  # uses the docker image from build stage to test the service

production:
  stage: deploy
  # should create a container from the above image on system of runner without privileged user

TL;DR 我们如何配置我们的本地 Gitlab Runner 以在不使用权限的情况下从 Gitlab CI / CD 中定义的图像本地部署 docker 容器？

【问题讨论】：

如果您的运行器在您的本地硬件中，您可以使用卷映射让运行器访问您的所有应用程序将部署到的文件夹。至于特权用户，我不知道你为什么需要它
感谢您的回复！正确，运行器本身在我们本地硬件上的 docker 容器中运行。我们希望我们部署的服务在同一台机器上的其他 docker 容器中运行（目前）。据我所知，我们需要一个特权用户来创建这些其他 docker 容器，还是我在那里遗漏了什么？
您需要权限才能在 docker 中运行 docker，但由于运行程序将在主机中启动容器，因此您不需要权限但需要从主机映射 docker 套接字。

标签： docker deployment gitlab-ci continuous-deployment gitlab-ci-runner

【解决方案1】：

Build 阶段通常是人们在 Docker 中使用 Docker 的阶段（查找）。为了不必使用特权用户，您可以在 Gitlab 中使用 kaniko executor 图像。

具体来说，您可以像这样使用 kaniko debug 图像：

dockerimage:
  stage: build
  image:
    name: gcr.io/kaniko-project/executor:debug
    entrypoint: [""]
  script:
    - mkdir -p /kaniko/.docker
    - echo "{\"auths\":{\"$CI_REGISTRY\":{\"username\":\"$CI_REGISTRY_USER\",\"password\":\"$CI_REGISTRY_PASSWORD\"}}}" > /kaniko/.docker/config.json
    - /kaniko/executor --context $CI_PROJECT_DIR --dockerfile $CI_PROJECT_DIR/Dockerfile --destination $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG
  rules:
    - if: $CI_COMMIT_TAG

您可以在 Gilab 的documentation 中找到如何使用它的示例。

如果您想在部署阶段使用该图像，您只需引用创建的图像。

你可以这样做：

production:
  stage: deploy
  image: $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG

使用此方法，您不需要特权用户。但我认为这不是您在部署阶段想要做的。通常，您只需使用在容器注册表中创建的映像在本地部署容器。解释的最后一种方法只会在 GitLab 运行器中部署图像。

【讨论】：