Die Arch Linux-Distribution sorgt für reproduzierbare Builds von Container-Images, die sicherstellen, dass die in den Images bereitgestellten Binärdateien aus dem zugrunde liegenden Quellcode erstellt wurden und keine versteckten Änderungen enthalten. Die reproduzierbaren Arch Linux-Images sind auf Docker Hub mit dem Tag repro verfügbar. Jeder kann ein Container-Image aus dem Quellcode erstellen, das bitgenau mit den vom Projekt bereitgestellten vorgefertigten Images übereinstimmt, und sicherstellen, dass die Build-Infrastruktur der Distribution, der Compiler und die Build-Tools nicht kompromittiert sind.
Bei der Erstellung reproduzierbarer Builds werden solche Feinheiten berücksichtigt wie die genaue Übereinstimmung der Abhängigkeiten; die Verwendung unveränderter Komponenten und Versionen von Build-Tools; identischer Satz von Optionen und Standardeinstellungen; die Beibehaltung der Reihenfolge der Dateizusammenstellung (Anwendung derselben Sortiermethoden); die Deaktivierung des Hinzufügens von nicht konstanten Betriebsinformationen durch den Compiler, wie z.B. zufällige Werte, Verweise auf Dateipfade und Daten zu Datum und Uhrzeit des Builds. Die Reproduzierbarkeit von Builds wird auch durch Fehler und Race Conditions in den Tools beeinflusst.
Die reproduzierbaren Images werden separat bereitgestellt, da zur Gewährleistung vollständiger Reproduzierbarkeit keine Schlüssel für den Paketmanager pacman enthalten sind. Bei Bedarf nach Updates oder Installationen von Paketen über pacman muss in diesen Images der Befehl zum erneuten Erstellen des Schlüsselspeichers ausgeführt werden („pacman-key —init && pacman-key —populate archlinux“). Um die Identität des eigenen Builds mit dem über Docker Hub verteilten Image zu überprüfen, können die Hashes verglichen werden, die durch den Befehl „podman inspect —format ‘{{.Digest}}’ “ ausgegeben werden, oder das Tool diffoci verwendet werden.
Quelle: opennet.ru
