Малките Docker образи, които вярваха в себе си*

[отправка към американската детска приказка „Малкият локомотив, който вярваше в себе си“ (The Little Engine That Could) — бележка на преводача]*

Как автоматично да създавате миниатюрни docker образи за собствените си нужди

Необикновена обсесия

Последните два месеца бях обсебен от натрапчива идея: колко малък може да стане Docker образ, така че приложението да работи?

Разбирам, че идеята е странна.

Преди да се задълбочим в детайлите и техническите трудности, бих искал да обясня защо този проблем ме впечатли и как той касае вас.

Защо размерът има значение

Намалявайки съдържанието на Docker образа, ние същевременно намаляваме списъка с уязвимости. Освен това правим образите по-чисти, тъй като те съдържат само това, което е необходимо за стартирането на приложения.

Има още едно малко предимство — образите се изтеглят малко по-бързо, но за мен това не е толкова важно.

Обърнете внимание: Ако ви интересува размерът, образите Alpine сами по себе си са малки и вероятно ще ви се сторят подходящи.

Distroless-образи

Проектът Distroless предлага колекция от базови „distroless“ образи, те не съдържат мениджъри на пакети, терминали и други утилити, които сте свикнали да виждате в командния ред. В резултат не може да се използват мениджъри на пакети като pip и apt не е възможно:

FROM gcr.io/distroless/python3
RUN pip3 install numpy

Dockerfile, използващ distroless образ Python 3

Изпращане на контекста за изграждане до Docker демон  2.048kB
Стъпка 1/2 : FROM gcr.io/distroless/python3
 ---> 556d570d5c53
Стъпка 2/2 : RUN pip3 install numpy
 ---> Изпълняване в dbfe5623f125
/bin/sh: 1: pip3: не е намерен

Pip в образа липсва

Обикновено такъв проблем се решава чрез многостепенно изграждане:

FROM python:3 as builder
RUN pip3 install numpy

FROM gcr.io/distroless/python3
COPY --from=builder /usr/local/lib/python3.7/site-packages /usr/local/lib/python3.5/

Многостепенна сборка

В резултат се получава образ с размер 130MB. Не е толкова зле! За сравнение: стандартният образ Python е 929MB, а „ослабеният“ (3.7-slim) — 179MB, образ alpine (3.7-alpine) — 98.6MB, докато базовият distroless образ, използван в примера, е 50.9MB.

Може да се посочи, че в предишния пример копираме цяла директория /usr/local/lib/python3.7/site-packages, в която могат да се намират ненужни зависимости. Въпреки това е ясно, че разликата в размерите на всички съществуващи базови образи Python варира.

Към момента на писането на тези редове Google distroless не поддържа толкова много образи: Java и Python — все още в експериментална фаза, а Python съществува само за 2.7 и 3.5.

Миниатюрни образи

Нека се върнем на моето обсесивно увлечение по създаването на малки образи.

Исках да видя как работят distroless-образите. Проектът distroless използва инструмента за изграждане на Google bazel. За да инсталирам Bazel и да напиша свои собствени образи, ми се наложи да се потрудя (и, ако бъда напълно честен, за мен беше забавно и поучително да преоткривам колелото). Исках да опростя създаването на минимални образи: актът на създаване на образ трябва да бъде изключително прост, банален. За да няма никакви конфигурационни файлове, само една команда в конзолата: просто създайте образ за.

И така, ако искате да създавате свои собствени образи, знайте: има такъв уникален docker образ, scratch. Scratch е "празен" образ, в него няма файлове, въпреки че по подразбиране тежи — о, чудо! — 77 байта.

FROM scratch

Образът scratch

идеята на образа scratch е, че можете да копирате всякакви зависимости от хост машина и или да ги използвате в Dockerfile (което е все едно да ги копирате в apt и да инсталирате от нулата), или по-късно, когато образът Docker се материализира. Това позволява пълен контрол над съдържанието на Docker контейнера и, така, напълно да контролирате размера на образа.

А сега трябва да намерим начин да съберем тези зависимости. Сегашните инструменти като apt възможности за сваляне на пакети, но те са обвързани с текущата машина и, в крайна сметка, не поддържат Windows или MacOS.

И така, реших да създам собствен инструмент, който автоматично да изгражда основен образ с най-малък възможен размер и който да може да стартира всяко приложение. Използвах пакети от Ubuntu/Debian, правех изборка (като получавах пакети директно от репозиториите) и рекурсивно намирах техните зависимости. Програмата трябваше автоматично да сваля последната стабилна версия на пакета, максимално намалявайки рисковете за сигурността.

Инструментът го нарекох fetchy, тъй като той… намира и носи… каквото е нужно [от англ. „fetch“, „носене“ — бел. ред.]. Инструментът работи чрез интерфейс на командния ред, но в същото време предлага и API.

За да създадете образ с помощта на fetchy (да вземем този път образа Python), трябва просто да използвате CLI така: fetchy dockerize python. Може да ви поискат целевата операционна система и кодовото име, тъй като fetchy временно използва само пакети, основани на Debian и Ubuntu.

Сега можете да изберете кои зависимости всъщност не са нужни (в нашия контекст) и да ги изключите. Например, Python зависи от perl, въпреки че работи отлично без инсталиран Perl.

Резултати

Образът на Python, създаден с команда fetchy dockerize python3.5 попива само 35МБ (сигурен съм, че в бъдеще ще може да бъде направен още по-лек). Така че, с distroless-образа успяхме да 'съкратиш' още 15МБ.

Всички образи, събрани до момента, могат да се видят тук.

Проектът — тук.

Ако ви липсват функции, просто подайте заявка — с радост ще помогна 🙂 Още повече, в момента работя по интеграцията на други пакетни мениджъри в fetchy, така че нуждата от многоетапни сборки да отпадне.

Източник: habr.com