Использование Docker Buildkit в Google Cloud Build

Я пытаюсь использовать BuildKit с Docker в Google Cloud Build, чтобы в конечном итоге использовать флаг --secret. Я использую Build Enhancements for Docker как ссылку.

Это работает на моем ноутбуке, когда я использую следующую команду: DOCKER_BUILDKIT=1 docker build -t hello-world:latest .

Когда я запускаю его в Cloud Build, я получаю сообщение об ошибке «docker.io/docker/dockerfile:experimental not found».

Есть идеи, как заставить это работать в Cloud Build?

Вот настройка (примечание: я еще не использую флаг --secret):

Dockerfile:

#syntax=docker/dockerfile:experimental

FROM node:10.15.3-alpine

RUN mkdir -p /usr/src/app && \
    apk add --no-cache tini

WORKDIR /usr/src/app

COPY package*.json ./

RUN npm install --production

COPY . .

RUN chown -R node:node .

USER node

EXPOSE 8080

ENTRYPOINT ["/sbin/tini", "--"]

CMD [ "node", "index.js" ]

cloudbuild.yaml:

steps:

  - id: 'Build'
    name: 'gcr.io/cloud-builders/docker'
    args: [
      'build',
      '-t', 'gcr.io/$PROJECT_ID/hello-world:latest',
      '.'
    ]
    env:
      - "DOCKER_BUILDKIT=1"

Журнал сборки облака:

starting build "xxxx"

FETCHSOURCE
Fetching storage object: gs://xxxxx
Copying gs://xxxxx...
/ [0 files][ 0.0 B/ 15.3 KiB] 
/ [1 files][ 15.3 KiB/ 15.3 KiB] 
Operation completed over 1 objects/15.3 KiB. 
BUILD
Already have image (with digest): gcr.io/cloud-builders/docker

#2 [internal] load .dockerignore
#2 digest: sha256:3ce0de94c925587ad30afb764af9bef89edeb62eb891b99694aedb086ee53f50
#2 name: "[internal] load .dockerignore"
#2 started: 2019-07-24 03:21:49.153855989 +0000 UTC
#2 completed: 2019-07-24 03:21:49.195969197 +0000 UTC
#2 duration: 42.113208ms
#2 transferring context: 230B done


#1 [internal] load build definition from Dockerfile
#1 digest: sha256:82b0dcd17330313705522448d60a78d4565304d55c86f55b903b18877d612601
#1 name: "[internal] load build definition from Dockerfile"
#1 started: 2019-07-24 03:21:49.150042849 +0000 UTC
#1 completed: 2019-07-24 03:21:49.189628322 +0000 UTC
#1 duration: 39.585473ms
#1 transferring dockerfile: 445B done


#3 resolve image config for docker.io/docker/dockerfile:experimental
#3 digest: sha256:401713457b113a88eb75a6554117f00c1e53f1a15beec44e932157069ae9a9a3
#3 name: "resolve image config for docker.io/docker/dockerfile:experimental"
#3 started: 2019-07-24 03:21:49.210803849 +0000 UTC
#3 completed: 2019-07-24 03:21:49.361743084 +0000 UTC
#3 duration: 150.939235ms
#3 error: "docker.io/docker/dockerfile:experimental not found"

docker.io/docker/dockerfile:experimental not found
ERROR
ERROR: build step 0 "gcr.io/cloud-builders/docker" failed: exit status 1

Версия докера для ноутбука:

Client: Docker Engine - Community
 Version:           18.09.2
 API version:       1.39
 Go version:        go1.10.8
 Git commit:        6247962
 Built:             Sun Feb 10 04:12:39 2019
 OS/Arch:           darwin/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          18.09.2
  API version:      1.39 (minimum version 1.12)
  Go version:       go1.10.6
  Git commit:       6247962
  Built:            Sun Feb 10 04:13:06 2019
  OS/Arch:          linux/amd64
  Experimental:     false

Версия Cloud Build Docker:

Step #0 - "Version": Client:
Step #0 - "Version": Version: 18.09.7
Step #0 - "Version": API version: 1.39
Step #0 - "Version": Go version: go1.10.8
Step #0 - "Version": Git commit: 2d0083d
Step #0 - "Version": Built: Thu Jun 27 17:56:17 2019
Step #0 - "Version": OS/Arch: linux/amd64
Step #0 - "Version": Experimental: false
Step #0 - "Version": 
Step #0 - "Version": Server: Docker Engine - Community
Step #0 - "Version": Engine:
Step #0 - "Version": Version: 18.09.3
Step #0 - "Version": API version: 1.39 (minimum version 1.12)
Step #0 - "Version": Go version: go1.10.8
Step #0 - "Version": Git commit: 774a1f4
Step #0 - "Version": Built: Thu Feb 28 05:59:55 2019
Step #0 - "Version": OS/Arch: linux/amd64
Step #0 - "Version": Experimental: false

Обновление: я заметил, что использовал # syntax = docker / dockerfile: experimental, тогда как в связанной статье # syntax = docker / dockerfile: 1.0-experimental. Я получаю ту же ошибку при использовании 1.0-экспериментальной версии.

google-cloud-build docker docker-buildkit

Mark 24.07.2019 источник

comment

Пример использования секретов в сборке Google Cloud < / а> - Paul 24.07.2019

comment

@Paul Спасибо за ссылку. Однако этот подход не решает проблему, которую я пытаюсь решить с помощью флага --secret. Я создаю приложение Node с частным пакетом, и мне нужно передать NPM_TOKEN команде сборки докера. Использование переменных среды и ARG в файле Docker откроет токен. См. alexandraulsh.com/2019/02/24/ docker-build-secrets-and-npmrc для решения, которое я пытаюсь реализовать. - Mark 24.07.2019

comment

@Mark, вы нашли решение? - Django23 30.08.2019

comment

К сожалению нет. - Mark 02.09.2019

Ответы (2)

arrow_upward
10
arrow_downward

Кажется, проблема возникает, когда параметр «registry-mirrors» используется в сочетании со buildkit, а затем образы внешнего интерфейса buildkit не могут быть извлечены:

https://github.com/moby/moby/issues/39120

Вытягивание их перед сборкой, похоже, решает проблему:

  - name: 'gcr.io/cloud-builders/docker'
    args: ['pull', 'docker/dockerfile:experimental']
  - name: 'gcr.io/cloud-builders/docker'
    args: ['pull', 'docker/dockerfile:1.0-experimental']

Troels Liebe Bentsen 10.11.2019

comment

ЭТО. Спасибо @ troels-liebe-bentsen. Однако теперь возникает эта проблема: [1/4] ОТ docker.io/library/node:12.18.4-alpine решить docker.io/library/node:12.18.4-alpine 0.1s done ERROR: docker.io/library /node:12.18.4-alpine не найден - TigerC10; 06.01.2021

arrow_upward
6
arrow_downward

У меня была аналогичная проблема, и мне удалось ее понять. На самом деле невозможно использовать docker buildkit с gcr.io/cloud-builders/docker, вместо этого вам нужно запустить докер в демоне докера и запустить другую сборку докера на стороне с docker-compose.

В частности, вам понадобится docker-compose.yml, в котором есть:

докер (докер в демоне докера)
этап сборки докера, который создает образ (с включенным buildkit)
шаг docker auth и push, который разрешает докеру нажимать на gcr (вам нужно создать creds.json с ролью службы с разрешением gcs, подробности см. внизу)
Чтобы выполнить аутентификацию и нажать на gcr, необходимо выполните вход в докер с помощью creds.json. См. Подробности: https://cloud.google.com/container-registry/docs/advanced-authentication

# deploy/app/docker-compose.yml
version: '3.7'
services:
  docker:
    image: "docker:18.09.9-dind"
    privileged: true
    volumes:
      - docker-certs-client:/certs/client
      - docker-certs-ca:/certs/ca
    expose:
      - 2376
    environment:
      - DOCKER_TLS_CERTDIR=/certs
    networks:
      - docker-in-docker-network
  docker-build:
    image: docker:18.09.9
    working_dir: /project
    command: build -t 'gcr.io/$PROJECT_ID/<image>:<tag>'
    privileged: true
    depends_on: 
      - docker
    volumes:
      - docker-certs-client:/certs/client:ro
      - ../../:/project
    environment:
      - DOCKER_TLS_CERTDIR=/certs
      - DOCKER_BUILDKIT=1
    networks:
      - docker-in-docker-network
  docker-push:
    image: docker:18.09.9
    working_dir: /project
    entrypoint: /bin/sh -c
    command: 
      - |
        cat creds.json | docker login -u _json_key --password-stdin https://gcr.io
        docker push 'gcr.io/$PROJECT_ID/<image>:<tag>'
    privileged: true
    depends_on: 
      - docker
    volumes:
      - docker-certs-client:/certs/client:ro
      - ../../:/project
    environment:
      - DOCKER_CERT_PATH=/certs/client
      - DOCKER_HOST=tcp://docker:2376
      - DOCKER_TLS_VERIFY=1
    networks:
      - docker-in-docker-network
volumes:
  docker-certs-ca:
  docker-certs-client:
networks:
  docker-in-docker-network:

Тогда в вашем cloud-build.yaml:

вам необходимо сначала расшифровать creds.json (сначала необходимо создать и зашифровать) - подробности: https://cloud.google.com/docs/authentication/getting-started (на шаге push будет использоваться ключ для авторизации входа в докер в gcr.)
Запустите демон docker из docker-compose в режиме демона (чтобы он не блокировал этап сборки и push)
Запустите этап сборки docker-compose
Запустите шаг аутентификации и нажмите docker-compose.

# cloud-build.yaml
steps:
  # decrypt gcloud json secret
  - name: gcr.io/cloud-builders/gcloud
    args:
    - kms
    - decrypt
    - --ciphertext-file=deploy/app/creds.json.enc
    - --plaintext-file=creds.json
    - --location=global
    - --keyring=<...>
    - --key=<...>
  # run docker daemon
  - name: 'docker/compose:1.24.1'
    args: ['-f', 'deploy/app/docker-in-docker-compose.yml', 'up', '-d', 'docker']
    env:
      - 'PROJECT_ID=$PROJECT_ID'
  # build image
  - name: 'docker/compose:1.24.1'
    args: ['-f', 'deploy/app/docker-in-docker-compose.yml', 'up', 'docker-build']
    env:
      - 'PROJECT_ID=$PROJECT_ID'
  # docker auth and push to gcr
  - name: 'docker/compose:1.24.1'
    args: ['-f', 'deploy/app/docker-in-docker-compose.yml', 'up', 'docker-push']
    env:
      - 'PROJECT_ID=$PROJECT_ID'
timeout: 600s

Lulu Cheng 17.10.2019

Использование Docker Buildkit в Google Cloud Build

Ответы (2)

Похожие вопросы