在 GitLab 存储库变量中存储 SSH 私钥

Question

使用 GitLab CI，我想将生产代码推送到远程虚拟主机。

为了连接 SSH，我将密钥对的私钥存储在 GitLab 存储库的变量中。我还将公钥复制到服务器的授权密钥中。这是（部分）我的.gitlab-ci.yml。

image: ubuntu

before_script:
  # Setup SSH credentials and known host
  - which ssh-agent || ( apt-get update -y && apt-get install openssh-client -y )
  - mkdir -p ~/.ssh
  - echo "$SSH_PRIVATE" | tr -d '\r' > ~/.ssh/id_rsa
  - chmod 700 ~/.ssh/id_rsa
  - eval "$(ssh-agent -s)"
  - ssh-add ~/.ssh/id_rsa
  - echo "$SSH_KNOWN_HOSTS"
  - echo "$SSH_KNOWN_HOSTS" > ~/.ssh/known_hosts
  - chmod 644 ~/.ssh/known_hosts

这种方法有效，但我质疑它的安全性。我的私钥这样安全吗？我还能如何实现我正在寻找的结果？

编辑：我特别质疑这种方法在生产环境中的安全性。

Answer 1

官方例子在gitlab-examples/ssh-private-key

它的.gitlab-ci.yml 使用custom environment variable SSH_PRIVATE_KEY，如“How to simplify your smart home configuration with GitLab CI/CD / Preparing the server (and GitLab) for SSH access”中所述。

只要那个variable is masked，应该就够安全了。