Pisikeste Docker'i piltide, mis uskusid endasse*

[viide Ameerika lastejutule „Väike rong, kes uskus endasse“ — tõlkija märkus]*

Kuidas automaatselt luua väikesi Dockeripilte oma vajaduste jaoks

Ebatavaline kinnisidee

Viimased paar kuud olen olnud kinnisideest vaevatud: kui väikseks ma Dockeripilti saan vähendada, et rakendus siiski töötaks?

Mõistan, et idee on kummaline.

Enne, kui süvenen detailidesse ja tehnilistesse nüanssidesse, tahaksin selgitada, miks see probleem mind nii palju puudutas ja kuidas see teid mõjutab.

Miks on suurus oluline

Dockeripildi sisu vähendamisega vähendame ka haavatavuste nimekirja. Lisaks muudame pildid puhtamaks, kuna need sisaldavad vaid seda, mis on vajalik rakenduste käivitamiseks.

On veel üks väike eelis — pildid laevad natuke kiiremini, kuid minu arvates ei ole see nii oluline.

Oluline märkus: kui teid huvitab suurus, sobivad Alpine'i pildid iseenesest hästi, kuna need on väiksed.

Distroless-pildid

Distroless projekti pakub kogumit põhjalikke „distroless“-pilte, mis ei sisalda paketihaldureid, kestasid ega muid utiliite, millega olete harjunud käsureal töötama. Seetõttu ei saa kasutada paketihaldureid nagu pip ja apt ei õnnestu:

FROM gcr.io/distroless/python3
RUN pip3 install numpy

Dockerfile, mis kasutab distroless-pilti Python 3

Saadan ehituskonteksti Docker daemonile  2.048kB
Samm 1/2 : FROM gcr.io/distroless/python3
 ---> 556d570d5c53
Samm 2/2 : RUN pip3 install numpy
 ---> Käivitatakse dbfe5623f125
/bin/sh: 1: pip3: ei leitud

Pip'i pilt ei sisalda

Tavaliselt lahendatakse see probleem mitme etapi koostamisega:

FROM python:3 as builder
RUN pip3 install numpy

FROM gcr.io/distroless/python3
COPY --from=builder /usr/local/lib/python3.7/site-packages /usr/local/lib/python3.5/

Mitme etapi koostamine

Tulemusena saame 130MB suuruse pildi. Mitte nii halb! Võrdluseks, vaikimisi Pythonipilt kaalub 929MB, ja 'kavandatud' (3,7-slim) — 179MB, Alpine'i pilt (3,7-alpine) — 98,6MB, kuid näites kasutatud aluspilt distroless on 50,9MB.

On õigustatud märkida, et eelmises näites kopeerime terve katalooge, /usr/local/lib/python3.7/site-packageskus võivad olla meile mittevajalikud sõltuvused. Kuigi on selge, et erinevus olemasolevate Pythonipiltide vahel varieerub.

Käesoleva kirjutamise hetkel toetab Google distroless mitte väga palju pilte: Java ja Python on veel katsetamise faasis ning Python eksisteerib vaid 2,7 ja 3,5 jaoks.

Väikesed pildid

Räägime tagasi minu kinnisideest väikeste piltide loomise üle.

Ma tahtsin tegelikult vaadata, kuidas distroless-pildid on korraldatud. Distroless projekt kasutab Google'i koostööriista bazel. Siiski, et Bazel installida ja oma pilte kirjutada, tuli kõvasti vaeva näha (ja et täiesti aus olla, siis tuli ratast uuesti leiutada — see on lõbus ja hariv). Tundsin vajadust lihtsustada vähendatud piltide loomist: pildi loomise akt peaks olema äärmiselt lihtne, banalne. Et poleks mingeid konfiguratsioonifaile, ainult üks rida konsolis: lihtsalt loo pilt <rakenduse> jaoks.

Nii et kui soovid oma pilte luua, siis tea: on olemas selline ainulaadne docker-pilt, scratch. Scratch on "tühi" pilt, selles pole faile, kuigi selle suurus on vaikimisi — ohjah! — 77 baiti.

FROM scratch

Scratch pilt

Scratch pildi idee on see, et saad kopeerida sinna kõik sõltuvused masina-hostist ja kas kasutada neid Dockerfile'is (nagu kopeerida need ja installeerida nullist) või hiljem, kui Docker pilt on realiseeritud. See võimaldab täielikult kontrollida Docker konteineri sisu ning seeläbi ka pildi suurust. apt Nüüd peame kuidagi need sõltuvused kokku panema. Olemasolevad tööriistad nagu

lubavad alla laadida pakette, kuid need on seotud praeguse masinaga ja lõpuks ei toeta Windows või MacOS. apt Ja nii hakkasin kokku panema oma tööriista, mis automaatselt koguks põhja pildi väikseima võimaliku suurusega ning ka käivitaks mis tahes rakenduse. Kasutasin Ubuntu/Debiani pakette, tõmbasin valikuid (saades pakette otse hoidlatest) ja leidsin nende sõltuvusi retsitiivsete meetoditega. Programm pidi automaatselt alla laadima uusima stabiilse versiooni paketti, minimeerides turvariskid.

Tööriista nimeks panin

fetchy , sest see… leiab ja toob… vajaliku [inglise keeles „fetch“, „tooma“ — täiendav märkus.]. Tööriist töötab käsurealiidese kaudu, kuid samas pakub ka API-d.Pildi kogumiseks, kasutades

(võtame seekord Python pildi), tuleb sul lihtsalt CLI kasutada järgmiselt: , sest see… leiab ja toob… vajaliku [ fetchy dockerize python . Sinult võidakse küsida siht-operatsioonisüsteemi ja koodinime, kunahetkel toetab see ainult Debian ja Ubuntu baasil pakette. , sest see… leiab ja toob… vajaliku [ пока использует только пакеты на базе Debian и Ubuntu.

Nüüd saab valida, millised sõltuvused on täiesti üleliigsed (meie konteksti raames) ja need välja jätta. Näiteks, Python sõltub perl'ist, kuigi töötab suurepäraselt ka ilma installitud Perlita.

tulemused näitasid ainult nelja ebaolulise koodibloki kattuvust, mis olid tingitud POSIX ja ANSI C nõuetest.

Python'i kujutis, mis on loodud käsuga fetchy dockerize python3.5 kaalub vaid 35 MB (olen enam kui kindel, et tulevikus saab seda veelgi kergemaks muuta). Tundub, et distroless pildilt saime 'ära lõigata' veel 15 MB.

Kogu praegu kokku kogutud pilte saab vaadata siin.

Projekt — siit.

Kui teil on funktsioonidest puudu, looge lihtsalt taotlus — olen rõõmus teid aidata 🙂 Veel enam, ma töötan hetkel integreerimise kallal fetchy jaoks teiste pakihalduritega, et mitmeastmelised kogumised enam ei oleks vajalikud.

Allikas: habr.com