6

如何保证Dockerfile每次都能产生完全相同的镜像

 3 years ago
source link: https://www.lujun9972.win/blog/2018/08/18/%E5%A6%82%E4%BD%95%E4%BF%9D%E8%AF%81dockerfile%E6%AF%8F%E6%AC%A1%E9%83%BD%E8%83%BD%E4%BA%A7%E7%94%9F%E5%AE%8C%E5%85%A8%E7%9B%B8%E5%90%8C%E7%9A%84%E9%95%9C%E5%83%8F/index.html
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
neoserver,ios ssh client

如何保证Dockerfile每次都能产生完全相同的镜像

摘录自 《Docker开发指南》 13.6.3 "可复制及可信任的Dockerfile"

FROM指令中使用标签或摘要以保证每次下载的镜像完全相同

若FROM指令不带标签，则Docker默认下载 latest 标签的镜像，而该镜像很容易随着时间的变化而变化。

一个好方法是明确指定镜像的标签，但即使是同一个标签也可能会出现一些小更新，若想要保证镜像完全一致，则需要指定下载镜像的摘要。 

FROM redis@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxx...

使用包管理器安装软件时指定版本号

跟上一条类似，使用包管理器安装软件默认安装的是最新版的软件，但有可能随着时间的推移而发生改变。 

apt-get install cowsay=3.03+dfsg1-6

但这会带来两个问题:

  1. 可能指定的版本号太旧了，包仓库中已经不支持了，这种情况下构建会是彼岸。
  2. 有些软件包以来于其他软件包，这种依赖关系可能仅仅是 >= 就行了，因此可能虽然指定的版本号，但其依赖的包依然可能发生改变。

验证任何从互联网上下载的软件和数据

若没有对下载数据进行验证的话，那么数据意外损坏或被恶意篡改将无法被发现。


report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK