Distribuce Arch Linux poskytla reprodukovatelné sestavení obrazů kontejnerů, což umožňuje ujistit se, že dodávané binární soubory v obraze byly sestaveny z dodaného zdrojového kódu a neobsahují skryté změny. Reprodukovatelné obrazy Arch Linuxu jsou umístěny v Docker Hubu s tagem repro. Každý, kdo chce, si může sestavit z původního kódu obraz kontejneru bit za bitem shodující se s distribuovanými hotovými obrazy projektu a ujistit se, že sestavovací infrastruktura distribuce, kompilátor a sestavovací nástroje nejsou kompromitovány.
Při vytváření reprodukovatelných sestavení se zohledňují takové nuance, jako je přesná shoda závislostí; použití neměnného složení a verzí sestavovacích nástrojů; identická sada možností a výchozích nastavení; udržení pořadí sestavení souborů (aplikace stejných metod třídění); deaktivace přidání nestálých pomocných informací ze strany kompilátoru, jako jsou náhodné hodnoty, odkazy na cesty k souborům a údaje o datu a čase sestavení. Na reprodukovatelnost sestavení také vliv má, že se v nástrojích vyskytují chyby a stavy závodů.
Reprodukovatelné obrazy jsou dodávány odděleně, protože pro zajištění kompletní reprodukovatelnosti nejsou v jejich složení zahrnuty klíče pro správce balíčků pacman. V případě potřeby aktualizace nebo instalace balíčků prostřednictvím pacman je v těchto obrazech nutné spustit příkaz pro opětovné vytvoření úložiště klíčů („pacman-key —init && pacman-key —populate archlinux“). Pro kontrolu identického sestavení s obrazem distribuovaným prostřednictvím Docker Hubu lze porovnat hash, které vrací příkaz „podman inspect —format ‘{{.Digest}}’ “, nebo využít utilitu diffoci.
Zdroj: opennet.ru
