Малки изображения на Docker, които вярваха в себе си*

[препратка към американската детска приказка „Малкият двигател, който можеше“ – прибл. платно]*

Как автоматично да създавате малки Docker изображения за вашите нужди

Необичайна мания

През последните няколко месеца бях обсебен от това колко малко може да бъде изображението на Docker и приложението все още да работи?

Разбирам, идеята е странна.

Преди да навляза в подробности и технически подробности, бих искал да обясня защо този проблем ме безпокои толкова много и как се отнася за вас.

Защо размерът има значение

Чрез намаляване на съдържанието на изображението на Docker, ние намаляваме списъка с уязвимости. Освен това правим изображенията по-чисти, защото съдържат само това, което е необходимо за стартиране на приложения.

Има още едно малко предимство - изображенията се изтеглят малко по-бързо, но според мен това не е толкова важно.

Моля, обърнете внимание: Ако се притеснявате за размера, самият външен вид на Alpine е малък и вероятно ще ви пасне.

Изображения без дистрибуция

Проект Distroless предлага селекция от основни изображения без дистрибуция, те не съдържат мениджъри на пакети, черупки и други помощни програми, които сте свикнали да виждате в командния ред. В резултат на това използвайте мениджъри на пакети като pip и apt няма да работи:

FROM gcr.io/distroless/python3
RUN  pip3 install numpy

Dockerfile, използващ изображение без дистрибуция на Python 3

Sending build context to Docker daemon  2.048kB
Step 1/2 : FROM gcr.io/distroless/python3
 ---> 556d570d5c53
Step 2/2 : RUN  pip3 install numpy
 ---> Running in dbfe5623f125
/bin/sh: 1: pip3: not found

Пип не е на снимката

Обикновено този проблем се решава чрез многоетапно изграждане:

FROM python:3 as builder
RUN  pip3 install numpy

FROM gcr.io/distroless/python3
COPY --from=builder /usr/local/lib/python3.7/site-packages /usr/local/lib/python3.5/

Многоетапен монтаж

Резултатът е изображение с размер 130 MB. Не е много лошо! За сравнение: изображението на Python по подразбиране тежи 929MB, а „по-тънкото“ (3,7-slim) - 179MB, алпийско изображение (3,7-alpine) е 98,6 MB, докато базовото изображение без дистрибуция, използвано в примера, е 50,9 MB.

Справедливо е да се отбележи, че в предишния пример копираме цяла директория /usr/local/lib/python3.7/site-packages, което може да съдържа зависимости, които не са ни необходими. Въпреки че е ясно, че разликата в размера на всички съществуващи базови изображения на Python варира.

Към момента на писане Google distroless не поддържа много изображения: Java и Python все още са на експериментален етап, а Python съществува само за 2,7 и 3,5.

Малки изображения

Обратно към манията ми да създавам малки изображения.

Като цяло исках да видя как се изграждат изображения без дистрибуция. Проектът без дистрибуция използва инструмента за изграждане на Google bazel. Инсталирането на Bazel и писането на ваши собствени изображения обаче отне много работа (и честно казано, преоткриването на колелото е забавно и образователно). Исках да опростя създаването на по-малки изображения: актът на създаване на изображение трябва да бъде изключително прост, банално. За да нямате конфигурационни файлове за вас, само един ред в конзолата: просто собрать образ для <приложение>.

Така че, ако искате да създадете свои собствени изображения, тогава знайте: има такова уникално докер изображение, scratch. Scratch е „празно“ изображение, в него няма файлове, въпреки че тежи по подразбиране - уау! - 77 байта.

FROM scratch

Скреч изображение

Идеята на скреч изображението е, че можете да копирате всякакви зависимости от хост машината в него и или да ги използвате в Dockerfile (това е като да ги копирате в apt и инсталирайте от нулата), или по-късно, когато изображението на Docker бъде материализирано. Това ви позволява напълно да контролирате съдържанието на контейнера на Docker и по този начин напълно да контролирате размера на изображението.

Сега трябва по някакъв начин да съберем тези зависимости. Съществуващите инструменти като apt ви позволяват да изтегляте пакети, но те са свързани с текущата машина и в крайна сметка не поддържат Windows или MacOS.

Така че се заех да създам свой собствен инструмент, който автоматично ще изгради базово изображение с възможно най-малкия размер и също ще стартира всяко приложение. Използвах пакети Ubuntu/Debian, направих избор (получаване на пакети директно от хранилищата) и рекурсивно намерих техните зависимости. Програмата трябваше автоматично да изтегли най-новата стабилна версия на пакета, като минимизира рисковете за сигурността, доколкото е възможно.

Нарекох инструмента fetchy, защото той... намира и носи... каквото трябва [от английски „донеси“, „донеси“ - прибл. платно]. Инструментът работи чрез интерфейс на командния ред, но в същото време предлага API.

За да сглобите изображение с помощта на fetchy (нека този път вземем изображение на Python), просто трябва да използвате CLI по този начин: fetchy dockerize python. Може да бъдете попитани за целевата операционна система и кодово име, защото fetchy в момента използва само пакети, базирани на Debian и Ubuntu.

Сега можете да изберете кои зависимости изобщо не са необходими (в нашия контекст) и да ги изключите. Например, Python зависи от perl, въпреки че работи добре без инсталиран Perl.

резултати

Python изображение, създадено с помощта на командата fetchy dockerize python3.5 тежи само 35MB (повече от сигурен съм, че в бъдеще може да стане още по-лек). Оказва се, че успяхме да изчистим още 15 WW от изображението без дистрибуция.

Можете да видите всички изображения, събрани до момента тук.

Проект - тук.

Ако ви липсват функции, просто създайте заявка - ще се радвам да помогна :) Нещо повече, в момента работя върху интегрирането на други мениджъри на пакети във fetchy, така че да няма нужда от многоетапни компилации.

Източник: www.habr.com