תמונות דוקר זעירות שהאמינו בעצמן*

[התייחסות לאגדת הילדים האמריקאית "המנוע הקטן שיכול" - בערך. נתיב]*

כיצד ליצור באופן אוטומטי תמונות Docker זעירות לצרכים שלך

אובססיה יוצאת דופן

במשך החודשיים האחרונים, הייתי אובססיבי ברעיון עד כמה תמונת Docker יכולה להיות קטנה יותר בזמן שעדיין מפעיל את האפליקציה?

אני מבין, הרעיון מוזר.

לפני שאכנס לפרטים ולפרטים הטכניים, ברצוני להסביר מדוע הבעיה הזו הטרידה אותי כל כך, וכיצד היא נוגעת לך.

למה הגודל חשוב

על ידי צמצום התוכן של תמונת Docker, אנו מצמצמים בכך את רשימת הפגיעות. בנוסף, אנו הופכים את התמונות לנקות יותר, מכיוון שהן מכילות רק את מה שדרוש להפעלת יישומים.

יש עוד יתרון קטן אחד - הורדת תמונות קצת יותר מהר, אבל, לדעתי, זה לא כל כך חשוב.

שימו לב: אם אתם מודאגים מהגודל, המראה האלפיני עצמו קטן וסביר להניח שיתאים לכם.

תמונות חסרות צרות

פרויקט Distroless מציעה מבחר של תמונות בסיסיות "חסרות הפרעות", הן אינן מכילות מנהלי חבילות, קונכיות וכלי עזר אחרים שאתה רגיל לראות בשורת הפקודה. כתוצאה מכך, השתמש במנהלי חבילות כמו pip и apt לא יעבוד:

FROM gcr.io/distroless/python3
RUN  pip3 install numpy

Dockerfile באמצעות תמונה ללא הפרעה של Python 3

Sending build context to Docker daemon  2.048kB
Step 1/2 : FROM gcr.io/distroless/python3
 ---> 556d570d5c53
Step 2/2 : RUN  pip3 install numpy
 ---> Running in dbfe5623f125
/bin/sh: 1: pip3: not found

פיפ לא בתמונה

בדרך כלל בעיה זו נפתרת על ידי בנייה מרובה שלבים:

FROM python:3 as builder
RUN  pip3 install numpy

FROM gcr.io/distroless/python3
COPY --from=builder /usr/local/lib/python3.7/site-packages /usr/local/lib/python3.5/

הרכבה רב-שלבית

התוצאה היא תמונה בגודל 130MB. לא נורא! לשם השוואה: תמונת ברירת המחדל של Python שוקלת 929MB, וה"דקה" יותר (3,7-slim) - 179MB, תמונה אלפינית (3,7-alpine) הוא 98,6MB, בעוד שהתמונה הבסיסית ללא הפרעה המשמשת בדוגמה היא 50,9MB.

זה הוגן לציין שבדוגמה הקודמת אנחנו מעתיקים ספרייה שלמה /usr/local/lib/python3.7/site-packages, שעשויים להכיל תלות שאיננו צריכים. למרות שברור שהפרש הגודל של כל תמונות הבסיס הקיימות של Python משתנה.

בזמן כתיבת שורות אלה, Google distroless לא תומכת בתמונות רבות: ג'אווה ופייתון עדיין בשלב הניסוי, ופייתון קיימת רק עבור 2,7 ו-3,5.

תמונות קטנטנות

בחזרה לאובססיה שלי ליצור תמונות קטנות.

באופן כללי, רציתי לראות איך בנויים דימויים חסרי מעשה. הפרויקט חסר הטרור משתמש בכלי הבנייה של גוגל bazel. עם זאת, התקנת Bazel וכתיבת תמונות משלך לקחה הרבה עבודה (ולמען האמת, להמציא את הגלגל מחדש זה כיף ומלמד). רציתי לפשט את היצירה של תמונות קטנות יותר: הפעולה של יצירת תמונה צריכה להיות פשוטה ביותר, בָּנָאלִי. כדי שלא יהיו קבצי תצורה עבורך, רק שורה אחת במסוף: просто собрать образ для <приложение>.

אז, אם אתה רוצה ליצור תמונות משלך, אז דע: יש תמונת דוקר ייחודית כזו, scratch. Scratch היא תמונה "ריקה", אין בה קבצים, למרות שהיא שוקלת כברירת מחדל - וואו! - 77 בתים.

FROM scratch

תמונה לשרוט

הרעיון של תמונת שריטה הוא שאתה יכול להעתיק לתוכה כל תלות מהמחשב המארח ולהשתמש בהם בתוך Dockerfile (זה כמו להעתיק אותם ל- apt ולהתקין מאפס), או מאוחר יותר כאשר תמונת Docker תתממש. זה מאפשר לך לשלוט לחלוטין על התוכן של ה-Docker, ובכך לשלוט לחלוטין בגודל התמונה.

עכשיו אנחנו צריכים איכשהו לאסוף את התלות האלה. כלים קיימים כמו apt מאפשרים לך להוריד חבילות, אך הן קשורות למחשב הנוכחי ובסופו של דבר אינן תומכות Windows או מקוס.

אז החלטתי לבנות כלי משלי שיבנה אוטומטית תמונת בסיס בגודל הקטן ביותר האפשרי ויגרום לו להריץ כל יישום. השתמשתי בחבילות Ubuntu/Debian, ביצע סלקציה (אחזור חבילות ישירות ממאגרים) ומצא באופן רקורסיבי את התלויות שלהן. התוכנית הייתה אמורה להוריד אוטומטית את הגרסה היציבה האחרונה של החבילה, ובכך למזער את סיכוני האבטחה.

קראתי לכלי fetchy, כי הוא... מוצא ומביא... מה שצריך [מאנגלית "להביא", "להביא" - בערך. נתיב]. הכלי עובד דרך ממשק שורת פקודה, אך במקביל מציע API.

כדי להרכיב תמונה באמצעות fetchy (בואו ניקח תמונה של Python הפעם), אתה רק צריך להשתמש ב-CLI כך: fetchy dockerize python. ייתכן שתתבקשו להזין את מערכת ההפעלה ואת שם הקוד של היעד מכיוון fetchy משתמש כרגע רק בחבילות המבוססות על Debian и Ubuntu.

כעת אתה יכול לבחור אילו תלות אינן נחוצות כלל (בהקשר שלנו) ולא לכלול אותן. לדוגמה, Python תלוי ב-perl, אם כי זה עובד מצוין בלי שה-Perl מותקן.

ממצאים

תמונת Python נוצרה באמצעות הפקודה fetchy dockerize python3.5 שוקל רק 35MB (אני יותר מבטוח שבעתיד אפשר להפוך אותו לקל עוד יותר). מסתבר שהצלחנו לגלח עוד 15 WW מהתמונה חסרת הטרור.

אתה יכול לראות את כל התמונות שנאספו עד כה כאן.

פרויקט - כאן.

אם חסרים לכם פיצ'רים, פשוט צרו בקשה - אשמח לעזור :) אפילו יותר, כרגע אני עובד על שילוב מנהלי חבילות אחרים ב-fetchy, כך שלא יהיה צורך בבנייה מרובה שלבים.

מקור: www.habr.com