dockito/vault

Dockito Vault

镜像概述

Dockito Vault是解决Docker镜像构建时使用SSH密钥问题的工具，通过临时获取私钥执行命令并自动清理，避免密钥泄露到最终镜像中。它由HTTP私钥服务器和ONVAULT脚本组成，适用于访问私有代码仓库的镜像构建场景。

核心功能

1. 临时密钥使用：ONVAULT工具在执行命令时临时获取私钥，命令完成后自动删除密钥。
2. 自定义配置：支持通过环境变量设置Vault服务器地址、端口、密钥名称等。
3. 密钥安全处理：支持带密码的SSH密钥，可临时移除密码。
4. SSH配置兼容：支持本地SSH配置文件，针对不同主机使用不同密钥。
5. 运行时支持：可在运行时容器中临时获取密钥执行操作。

使用场景

• 构建需要从私有GitHub/GitLab仓库拉取依赖的Docker镜像。
• 运行时容器临时访问私有服务器或资源。
• 构建过程中安全使用SSH密钥且不泄露到镜像的场景。

配置说明

环境变量

• VAULT_HOST：自定义Vault服务器主机（如172.17.0.1）。
• VAULT_PORT：自定义Vault服务器端口（如tcp:172.17.0.1:***）。
• VAULT_URI：自定义Vault服务器URI（如[***]
• VAULT_SSH_KEY：自定义使用的SSH密钥名称（如id_rsa）。

SSH配置文件

通过本地~/.ssh/config指定不同主机密钥：

Host github.com
  IdentityFile ~/.ssh/github_docker_key
Host myprivatehost.com
  IdentityFile ~/.ssh/myprivatehost_key

密钥密码处理

若密钥带密码，临时移除密码：

bash
ONVAULT --disable-pwd %password% npm install

符号链接处理

SSH文件存在符号链接时，需将链接目标目录挂载到Vault服务器容器。

部署示例

运行Vault服务器

bash
docker run -p 172.17.0.1:14242:3000 -v ~/.ssh:/vault/.ssh dockito/vault

（注：IP可通过ifconfig docker0 | grep 'inet ' | cut -d: -f2 | awk '{ print $2}'获取）

Docker Compose部署

bash
git clone https://github.com/dockito/vault.git
cd vault
docker-compose up vault

Dockerfile使用示例（Debian/Ubuntu）

Dockerfile
FROM node:0.10.38
# 安装ONVAULT工具
RUN apt-get update -y && \
    apt-get install -y curl && \
    curl -L https://raw.githubusercontent.com/dockito/vault/master/ONVAULT > /usr/local/bin/ONVAULT && \
    chmod +x /usr/local/bin/ONVAULT
# 创建工作目录
RUN mkdir -p /usr/src/app
WORKDIR /usr/src/app
# 复制package.json并安装依赖
COPY package.json /usr/src/app/
RUN ONVAULT npm install --unsafe-perm
COPY . /usr/src/app
CMD ["npm", "start"]