Arch Linux предоставя възможност за възпроизводимо изграждане на образи на контейнери

Дистрибуцията Arch Linux осигурява възпроизводима компилация на изображения на контейнери, позволяваща да се уверите, че предоставените в изображението бинарни файлове са събрани от предоставения изходен код и не съдържат скрити изменения. Възпроизводимите изображения на Arch Linux са публикувани в Docker Hub с таг repro. Всеки, който желае, може да събере от изходния код изображение на контейнер, бит за бит съвпадащо с разпространяваните от проекта готови изображения, и да се увери, че инфраструктурата за компилация на дистрибуцията, компилаторът и инструменти за компилация не са компрометирани.

При създаването на възпроизводими компилации се вземат предвид такива детайли, като точно съответствие на зависимостите; използване на неизменен състав и версии на инструменти за компилация; идентичен набор от опции и настройки по подразбиране; запазване на реда на компилация на файловете (прилагане на същите методи за подреждане); деактивиране на добавянето на непостоянна служебна информация от компилатора, като случайни стойности, препратки към файлови пътища и данни за дата и час на компилация. На възпроизводимостта на компилациите също влияят грешки и състояния на състезание в инструментите.

Възпроизведимите образи се предоставят отделно, тъй като за осигуряване на пълна възпроизводимост не съдържат ключовете за пакетния мениджър pacman. При необходимост от актуализация или инсталиране на пакети чрез pacman, в тези образи трябва да се стартира команда за преосъздаване на хранилището с ключове («pacman-key —init && pacman-key —populate archlinux»). За проверка на идентичността на собствената компилация с разпространявания образ през Docker Hub, може да се сравнят хешовете, издавани от командата «podman inspect —format ‘{{.Digest}}’ », или да се използва утилитата diffoci.

Източник: opennet.ru