Distribusi lengkung Linux Menyediakan pembuatan citra kontainer yang dapat direproduksi, memastikan bahwa biner yang disertakan dalam citra dibuat dari kode sumber yang disediakan dan tidak mengandung modifikasi tersembunyi. Citra Arch yang dapat direproduksi Linux Dihosting di Docker Hub dengan tag "repro". Siapa pun dapat membuat citra kontainer dari kode sumber yang identik dengan citra yang sudah ada sebelumnya dari proyek tersebut, memastikan bahwa infrastruktur pembangunan, kompiler, dan alat pembangunan distribusi tidak terganggu.
Saat membuat build yang dapat direproduksi, kami mempertimbangkan nuansa-nuansa seperti pencocokan dependensi yang presisi; penggunaan perangkat build yang konsisten dalam satu set dan versi; serangkaian opsi dan pengaturan default yang identik; mempertahankan urutan build file (menggunakan metode pengurutan yang sama); dan menonaktifkan penambahan informasi layanan volatil oleh kompiler, seperti nilai acak, referensi jalur file, serta data tanggal dan waktu build. Reprodusibilitas build juga dipengaruhi oleh kesalahan dan kondisi balapan pada perangkat build.
Gambar yang dapat direproduksi disediakan secara terpisah karena, untuk memastikan reproduksibilitas penuh, gambar tersebut tidak menyertakan kunci untuk manajer paket pacman. Jika Anda perlu memperbarui atau menginstal paket melalui pacman di gambar ini, Anda harus menjalankan perintah untuk membuat ulang keystore ("pacman-key --init && pacman-key --populate archlinux"). Untuk memverifikasi bahwa build Anda sendiri identik dengan gambar yang didistribusikan melalui Docker Hub, Anda dapat membandingkan hash yang dikembalikan oleh perintah "podman inspect --format '{{.Digest}}" ”, atau gunakan utilitas diffoci.
Sumber: opennet.ru
