当前位置：首页 > news >正文

SDMatte镜像CI/CD实践：GitHub Actions自动构建、镜像签名、Harbor仓库推送

news 2026/8/18 9:54:21

SDMatte镜像CI/CD实践：GitHub Actions自动构建、镜像签名、Harbor仓库推送

1. 项目背景与价值

SDMatte是一款面向高质量图像抠图的AI模型，特别擅长处理复杂边缘和半透明物体的抠图任务。随着业务需求增长，我们需要建立一套自动化构建和部署流程，确保镜像更新能够快速、安全地交付到生产环境。

传统手动构建和推送镜像的方式存在以下痛点：

人工操作容易出错
构建环境不一致导致镜像质量不稳定
缺乏自动化测试环节
镜像安全性无法保证

本文将详细介绍如何利用GitHub Actions实现SDMatte镜像的自动化CI/CD流程，包括：

代码变更触发自动构建
镜像签名验证
自动推送到Harbor私有仓库
完整的安全检查链

2. 环境准备与配置

2.1 基础环境要求

在开始配置CI/CD流程前，需要准备以下基础设施：

GitHub仓库：存放SDMatte项目代码
Docker环境：用于构建镜像
Harbor私有仓库：存储构建好的镜像
GPG密钥对：用于镜像签名

2.2 密钥配置

为确保流程安全，需要在GitHub仓库中配置以下Secrets：

# Harbor仓库认证信息 HARBOR_URL=harbor.example.com HARBOR_USER=robot$project+sdmatte HARBOR_PASSWORD=your_robot_token # GPG签名密钥 GPG_PRIVATE_KEY=-----BEGIN PGP PRIVATE KEY BLOCK----- ... -----END PGP PRIVATE KEY BLOCK----- GPG_PASSPHRASE=your_passphrase

3. GitHub Actions工作流设计

3.1 完整工作流概览

我们的CI/CD流程包含以下关键步骤：

代码推送触发工作流
设置构建环境
构建Docker镜像
签名Docker镜像
推送镜像到Harbor
清理工作空间

3.2 工作流YAML配置

创建.github/workflows/docker-build-push.yml文件：

name: Build and Push SDMatte Docker Image on: push: branches: [ "main" ] paths: - 'docker/**' - 'src/**' - '.github/workflows/docker-build-push.yml' env: IMAGE_NAME: sdmatte-web HARBOR_PROJECT: ai-models jobs: build-and-push: runs-on: ubuntu-latest steps: - name: Checkout code uses: actions/checkout@v3 - name: Set up QEMU uses: docker/setup-qemu-action@v2 - name: Set up Docker Buildx uses: docker/setup-buildx-action@v2 - name: Login to Harbor uses: docker/login-action@v2 with: registry: ${{ secrets.HARBOR_URL }} username: ${{ secrets.HARBOR_USER }} password: ${{ secrets.HARBOR_PASSWORD }} - name: Build and push uses: docker/build-push-action@v4 with: context: . file: ./docker/Dockerfile push: true tags: | ${{ secrets.HARBOR_URL }}/${{ env.HARBOR_PROJECT }}/${{ env.IMAGE_NAME }}:latest ${{ secrets.HARBOR_URL }}/${{ env.HARBOR_PROJECT }}/${{ env.IMAGE_NAME }}:${{ github.sha }} labels: | org.opencontainers.image.source=${{ github.repositoryUrl }} org.opencontainers.image.revision=${{ github.sha }} - name: Install cosign uses: sigstore/cosign-installer@main - name: Sign image run: | echo "${{ secrets.GPG_PRIVATE_KEY }}" > private.key cosign sign --key private.key \ ${{ secrets.HARBOR_URL }}/${{ env.HARBOR_PROJECT }}/${{ env.IMAGE_NAME }}:${{ github.sha }} \ --yes env: COSIGN_PASSWORD: ${{ secrets.GPG_PASSPHRASE }}

4. 关键实现细节

4.1 多架构镜像构建

SDMatte需要支持不同硬件环境，我们使用Buildx构建多架构镜像：

# docker/buildx-multiarch.sh #!/bin/bash docker buildx create --use docker buildx build \ --platform linux/amd64,linux/arm64 \ -t $HARBOR_URL/$HARBOR_PROJECT/$IMAGE_NAME:latest \ -t $HARBOR_URL/$HARBOR_PROJECT/$IMAGE_NAME:$GIT_SHA \ --push \ .

4.2 镜像签名验证

使用cosign进行镜像签名和验证：

# 签名镜像 cosign sign --key cosign.key ${IMAGE} # 验证签名 cosign verify --key cosign.pub ${IMAGE}

4.3 Harbor仓库配置

Harbor需要特殊配置以支持自动推送：

创建机器人账户并分配推送权限
配置仓库自动扫描漏洞
设置保留策略防止镜像过多

5. 安全最佳实践

5.1 安全加固措施

使用最小化基础镜像（如python:3.10-slim）
镜像扫描（Trivy集成）
非root用户运行容器
定期轮换凭证

5.2 漏洞扫描集成

在工作流中添加漏洞扫描步骤：

- name: Scan image uses: aquasecurity/trivy-action@master with: image-ref: ${{ secrets.HARBOR_URL }}/${{ env.HARBOR_PROJECT }}/${{ env.IMAGE_NAME }}:${{ github.sha }} format: 'table' exit-code: '1' severity: 'CRITICAL,HIGH'