kaniko 可在 kubernetes 集群内安全构建容器镜像：纯用户态运行、无需 root 权限或 docker daemon；需配置非特权 pod（runasnonroot: true、runasuser: 1001）、正确挂载源码与凭证、适配私有仓库 tls 信任，并推荐启用缓存、限制资源以提升稳定性。
在 Kubernetes 集群内安全地构建容器镜像，关键在于避免使用 docker build（需特权容器 + Docker daemon），而 Kaniko 正是为此设计：它纯用户态运行、无需 root 权限、不依赖宿主机 Docker，适合在受限 Pod 环境中构建镜像并推送到私有或公有镜像仓库。
核心前提：准备非特权运行环境
Kaniko 默认以非 root 用户（uid 1001）运行，因此你的 Pod 必须满足以下条件：
- Pod 安全上下文（
securityContext）中明确设置runAsNonRoot: true和runAsUser: 1001 - 禁止
privileged: true，禁用capabilities（如NET_ADMIN、SYS_ADMIN） - 挂载的
emptyDir或configMap目录需对 uid 1001 可写（可通过fsGroup: 1001或volumeMounts.subPath+defaultMode控制权限） - 若使用私有 Git 仓库（如 GitLab、GitHub private repo），需通过
git-ssh或https + token方式提供凭证，并以secret挂载进容器
构建流程：从源码到镜像推送
典型 Kaniko 构建流程包含三步：获取源码 → 执行构建 → 推送镜像。推荐使用 Init Container 拉取代码，主容器执行 Kaniko：
-
Init Container：用
alpine/git或debian:slim克隆代码到emptyDir，确保文件属主为 1001（例如chown -R 1001:1001 /workspace） -
Main Container：使用官方镜像
gcr.io/kaniko-project/executor:v1.24.0（建议锁定版本），命令形如：--context=dir:///workspace --dockerfile=/workspace/Dockerfile --destination=harbor.example.com/myapp:v1.0 --insecure --skip-tls-verify-pull --skip-tls-verify - 如目标仓库需认证，将
~/.docker/config.json以 Secret 挂载至/kaniko/.docker/config.json（Kaniko 自动识别）
适配私有仓库与证书信任
若使用自签名 TLS 的 Harbor 或内部 Registry，仅加 --insecure 和 --skip-tls-verify 不够——Kaniko 在拉取基础镜像（FROM）时仍会校验证书。正确做法是：
- 将 CA 证书（如
ca.crt）以 ConfigMap 挂载到容器内（例如/etc/ssl/certs/ca.crt） - 通过
--certificate-dir=/etc/ssl/certs显式告知 Kaniko 加载路径 - 若基础镜像来自 HTTP 地址（非 HTTPS），必须加
--insecure-registry harbor.example.com（多个 registry 可重复指定）
生产可用增强建议
提升稳定性与可观测性：
- 限制资源：为 Kaniko Pod 设置
requests/limits（尤其内存 ≥ 2Gi，构建多层镜像易 OOM） - 启用缓存：挂载 PVC 存储
/cache，添加--cache=true --cache-dir=/cache，显著加速重复构建 - 日志与调试：添加
--verbosity=info；临时调试可改用--no-push仅构建不推送 - 镜像标签策略：结合 CI 环境变量（如
$CI_COMMIT_TAG或$CI_PIPELINE_ID）动态生成--destination中的 tag
该方案已在多数企业 K8s 环境落地验证，兼顾安全性与实用性。只要镜像仓库可达、凭证有效、权限配置准确，整个构建过程完全在普通 Pod 内完成，无需集群级特权开放。
