ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ ബിൽഡ പ്രവർത്തിപ്പിക്കുന്നതിനുള്ള ശുപാർശകൾ

കണ്ടെയ്‌നർ റൺടൈം പ്രത്യേക ടൂളിംഗ് ഘടകങ്ങളായി വിഘടിപ്പിക്കുന്നതിന്റെ ഭംഗി എന്താണ്? പ്രത്യേകിച്ചും, ഈ ഉപകരണങ്ങൾ പരസ്പരം സംരക്ഷിക്കുന്നതിനായി സംയോജിപ്പിക്കാൻ തുടങ്ങും.

കണ്ടെയ്നറൈസ്ഡ് ഒസിഐ ചിത്രങ്ങൾ ഉള്ളിൽ നിർമ്മിക്കുക എന്ന ആശയത്തിലേക്ക് പലരും ആകർഷിക്കപ്പെടുന്നു കുബേർനെറ്റ് അല്ലെങ്കിൽ സമാനമായ സംവിധാനം. തുടർച്ചയായി ചിത്രങ്ങൾ ശേഖരിക്കുന്ന ഒരു CI/CD ഞങ്ങളുടെ പക്കലുണ്ടെന്ന് പറയുക, പിന്നെ ഇതുപോലെ ഒന്ന് Red Hat OpenShift/ബിൽഡ് സമയത്ത് ലോഡ് ബാലൻസിങ്ങിന്റെ കാര്യത്തിൽ Kubernetes വളരെ ഉപയോഗപ്രദമായിരിക്കും. അടുത്ത കാലം വരെ, മിക്ക ആളുകളും കണ്ടെയ്നറുകൾക്ക് ഡോക്കർ സോക്കറ്റിലേക്ക് പ്രവേശനം നൽകുകയും ഡോക്കർ ബിൽഡ് കമാൻഡ് പ്രവർത്തിപ്പിക്കാൻ അനുവദിക്കുകയും ചെയ്തു. കുറച്ച് വർഷങ്ങൾക്ക് മുമ്പ് ഞങ്ങൾ കാണിച്ചുഇത് വളരെ സുരക്ഷിതമല്ല, വാസ്തവത്തിൽ, ഇത് പാസ്‌വേഡ് ഇല്ലാത്ത റൂട്ട് അല്ലെങ്കിൽ സുഡോ നൽകുന്നതിനേക്കാൾ മോശമാണ്.

അതുകൊണ്ടാണ് ആളുകൾ ഒരു കണ്ടെയ്‌നറിൽ ബിൽഡ പ്രവർത്തിപ്പിക്കാൻ നിരന്തരം ശ്രമിക്കുന്നത്. ചുരുക്കത്തിൽ, ഞങ്ങൾ സൃഷ്ടിച്ചു ഉദാഹരണം ഞങ്ങളുടെ അഭിപ്രായത്തിൽ, ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ ബിൽഡ എങ്ങനെ പ്രവർത്തിപ്പിക്കുന്നതാണ് നല്ലത്, ഒപ്പം അനുബന്ധ ചിത്രങ്ങൾ പോസ്റ്റ് ചെയ്‌തു quay.io/buildah. നമുക്ക് തുടങ്ങാം...

കമപ്പെടുത്തല്

ഈ ചിത്രങ്ങൾ Dockerfiles-ൽ നിന്നാണ് നിർമ്മിച്ചിരിക്കുന്നത്, അവ ഫോൾഡറിലെ ബിൽഡ റിപ്പോസിറ്ററിയിൽ കാണാം. ബിൽഡ്ഹിമേജ്.
ഇവിടെ നമ്മൾ നോക്കും Dockerfile-ന്റെ സ്ഥിരമായ പതിപ്പ്.

# stable/Dockerfile
#
# Build a Buildah container image from the latest
# stable version of Buildah on the Fedoras Updates System.
# https://bodhi.fedoraproject.org/updates/?search=buildah
# This image can be used to create a secured container
# that runs safely with privileges within the container.
#
FROM fedora:latest

# Don't include container-selinux and remove
# directories used by dnf that are just taking
# up space.
RUN yum -y install buildah fuse-overlayfs --exclude container-selinux; rm -rf /var/cache /var/log/dnf* /var/log/yum.*

# Adjust storage.conf to enable Fuse storage.
RUN sed -i -e 's|^#mount_program|mount_program|g' -e '/additionalimage.*/a "/var/lib/shared",' /etc/containers/storage.conf

ഹോസ്റ്റ് ലിനക്സ് കെർണൽ തലത്തിൽ നടപ്പിലാക്കിയ OverlayFS-ന് പകരം, കണ്ടെയ്നറിനുള്ളിൽ ഞങ്ങൾ പ്രോഗ്രാം ഉപയോഗിക്കുന്നു. ഫ്യൂസ്-ഓവർലേ, കാരണം നിങ്ങൾ Linux കഴിവുകൾ ഉപയോഗിച്ച് SYS_ADMIN അനുമതികൾ നൽകിയാൽ മാത്രമേ നിലവിൽ OverlayFS-ന് മൗണ്ട് ചെയ്യാൻ കഴിയൂ. റൂട്ട് പ്രത്യേകാവകാശങ്ങളൊന്നുമില്ലാതെ ഞങ്ങളുടെ ബിൽഡ കണ്ടെയ്‌നറുകൾ പ്രവർത്തിപ്പിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. ഫ്യൂസ്-ഓവർലേ വളരെ വേഗത്തിൽ പ്രവർത്തിക്കുന്നു കൂടാതെ VFS സ്റ്റോറേജ് ഡ്രൈവറിനേക്കാൾ മികച്ച പ്രകടനവുമുണ്ട്. ഫ്യൂസ് ഉപയോഗിക്കുന്ന ഒരു ബിൽഡ കണ്ടെയ്‌നർ പ്രവർത്തിപ്പിക്കുമ്പോൾ, നിങ്ങൾ /dev/fuse ഉപകരണം നൽകണം എന്നത് ശ്രദ്ധിക്കുക.

podman run --device /dev/fuse quay.io/buildahctr ...
RUN mkdir -p /var/lib/shared/overlay-images /var/lib/shared/overlay-layers; touch /var/lib/shared/overlay-images/images.lock; touch /var/lib/shared/overlay-layers/layers.lock

അടുത്തതായി അധിക സംഭരണത്തിനായി ഞങ്ങൾ ഒരു ഡയറക്ടറി സൃഷ്ടിക്കുന്നു. കണ്ടെയ്നർ/സംഭരണം അധിക റീഡ്-ഒൺലി ഇമേജ് സ്റ്റോറുകൾ ബന്ധിപ്പിക്കുന്ന ആശയത്തെ പിന്തുണയ്ക്കുന്നു. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ഒരു മെഷീനിൽ ഒരു ഓവർലേ സ്റ്റോറേജ് ഏരിയ കോൺഫിഗർ ചെയ്യാം, തുടർന്ന് ഈ സ്റ്റോറേജ് മറ്റൊരു മെഷീനിൽ മൌണ്ട് ചെയ്യാൻ NFS ഉപയോഗിക്കുകയും പുൾ വഴി ഡൗൺലോഡ് ചെയ്യാതെ അതിൽ നിന്നുള്ള ഇമേജുകൾ ഉപയോഗിക്കുകയും ചെയ്യാം. ഹോസ്റ്റിൽ നിന്ന് കുറച്ച് ഇമേജ് സ്റ്റോറേജ് ഒരു വോള്യമായി കണക്റ്റ് ചെയ്യാനും കണ്ടെയ്‌നറിനുള്ളിൽ ഉപയോഗിക്കാനും ഞങ്ങൾക്ക് ഈ സ്റ്റോറേജ് ആവശ്യമാണ്.

# Set up environment variables to note that this is
# not starting with user namespace and default to
# isolate the filesystem with chroot.
ENV _BUILDAH_STARTED_IN_USERNS="" BUILDAH_ISOLATION=chroot

അവസാനമായി, BUILDAH_ISOLATION എൻവയോൺമെന്റ് വേരിയബിൾ ഉപയോഗിക്കുന്നതിലൂടെ, ഞങ്ങൾ ബിൽഡ കണ്ടെയ്‌നറിനോട് സ്ഥിരസ്ഥിതിയായി chroot ഐസൊലേഷനുമായി പ്രവർത്തിക്കാൻ പറയുന്നു. ഞങ്ങൾ ഇതിനകം ഒരു കണ്ടെയ്നറിൽ ജോലി ചെയ്യുന്നതിനാൽ അധിക ഇൻസുലേഷൻ ഇവിടെ ആവശ്യമില്ല. Buildah-ന് സ്വന്തമായി നെയിംസ്‌പേസ്-വേർതിരിക്കപ്പെട്ട കണ്ടെയ്‌നറുകൾ സൃഷ്‌ടിക്കുന്നതിന്, SYS_ADMIN പ്രത്യേകാവകാശം ആവശ്യമാണ്, ഇതിന് കണ്ടെയ്‌നറിന്റെ SELinux, SECCOMP നിയമങ്ങളിൽ ഇളവ് ആവശ്യമാണ്, ഇത് സുരക്ഷിതമായ ഒരു കണ്ടെയ്‌നറിൽ നിന്ന് നിർമ്മിക്കാനുള്ള ഞങ്ങളുടെ മുൻഗണനയ്ക്ക് വിരുദ്ധമാണ്.

ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ ബിൽഡ ഓടുന്നു

മുകളിൽ ചർച്ച ചെയ്ത ബിൽഡ കണ്ടെയ്‌നർ ഇമേജ് ഡയഗ്രം അത്തരം കണ്ടെയ്‌നറുകൾ സമാരംഭിക്കുന്നതിനുള്ള രീതികൾ അയവില്ലാതെ മാറ്റാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

വേഗതയും സുരക്ഷയും

കംപ്യൂട്ടർ സെക്യൂരിറ്റി എന്നത് പ്രക്രിയയുടെ വേഗതയും അതിന് ചുറ്റും എത്രത്തോളം സംരക്ഷണം ഉൾക്കൊള്ളുന്നു എന്നതും തമ്മിലുള്ള ഒരു വിട്ടുവീഴ്ചയാണ്. കണ്ടെയ്നറുകൾ കൂട്ടിച്ചേർക്കുമ്പോഴും ഈ പ്രസ്താവന ശരിയാണ്, അതിനാൽ അത്തരമൊരു വിട്ടുവീഴ്ചയ്ക്കുള്ള ഓപ്ഷനുകൾ ഞങ്ങൾ ചുവടെ പരിഗണിക്കും.

മുകളിൽ ചർച്ച ചെയ്ത കണ്ടെയ്‌നർ ഇമേജ് അതിന്റെ സംഭരണം /var/lib/containers-ൽ സൂക്ഷിക്കും. അതിനാൽ, ഈ ഫോൾഡറിലേക്ക് ഞങ്ങൾ ഉള്ളടക്കം മൗണ്ട് ചെയ്യേണ്ടതുണ്ട്, ഞങ്ങൾ ഇത് എങ്ങനെ ചെയ്യുന്നു എന്നത് കണ്ടെയ്നർ ഇമേജുകൾ നിർമ്മിക്കുന്നതിന്റെ വേഗതയെ വളരെയധികം ബാധിക്കും.

നമുക്ക് മൂന്ന് ഓപ്ഷനുകൾ പരിഗണിക്കാം.

ഓപ്ഷൻ 1. പരമാവധി സുരക്ഷ ആവശ്യമാണെങ്കിൽ, ഓരോ കണ്ടെയ്‌നറിനും നിങ്ങൾക്ക് കണ്ടെയ്‌നറുകൾ/ചിത്രങ്ങൾക്കായി നിങ്ങളുടേതായ ഫോൾഡർ സൃഷ്‌ടിക്കുകയും വോളിയം-മൗണ്ട് വഴി കണ്ടെയ്‌നറുമായി ബന്ധിപ്പിക്കുകയും ചെയ്യാം. കൂടാതെ, കണ്ടെയ്‌നറിൽ തന്നെ /build ഫോൾഡറിൽ സന്ദർഭ ഡയറക്ടറി സ്ഥാപിക്കുക:

# mkdir /var/lib/containers1
# podman run -v ./build:/build:z -v /var/lib/containers1:/var/lib/containers:Z quay.io/buildah/stable
buildah  -t image1 bud /build
# podman run -v /var/lib/containers1:/var/lib/containers:Z quay.io/buildah/stable buildah  push  image1 registry.company.com/myuser
# rm -rf /var/lib/containers1

സുരക്ഷ. അത്തരം കണ്ടെയ്‌നറിൽ പ്രവർത്തിക്കുന്ന ബിൽഡയ്ക്ക് പരമാവധി സുരക്ഷയുണ്ട്: ഇതിന് കഴിവുകൾ ഉപയോഗിച്ച് റൂട്ട് പ്രത്യേകാവകാശങ്ങളൊന്നും നൽകിയിട്ടില്ല, കൂടാതെ എല്ലാ SECOMP, SELinux നിയന്ത്രണങ്ങളും ഇതിന് ബാധകമാണ്. അത്തരം ഒരു കണ്ടെയ്‌നർ ഉപയോക്തൃ നെയിംസ്‌പേസ് ഐസൊലേഷനിൽപ്പോലും—uidmap 0: 100000:10000.

പ്രകടനം. എന്നാൽ ഇവിടെ പ്രകടനം വളരെ കുറവാണ്, കാരണം കണ്ടെയ്‌നർ രജിസ്‌ട്രികളിൽ നിന്നുള്ള ഏതെങ്കിലും ഇമേജുകൾ ഓരോ തവണയും ഹോസ്റ്റിലേക്ക് പകർത്തുന്നു, കൂടാതെ കാഷിംഗ് പ്രവർത്തിക്കുന്നില്ല. അതിന്റെ ജോലി പൂർത്തിയാക്കുമ്പോൾ, ബിൽഡ കണ്ടെയ്നർ ചിത്രം രജിസ്ട്രിയിലേക്ക് അയയ്ക്കുകയും ഹോസ്റ്റിലെ ഉള്ളടക്കം നശിപ്പിക്കുകയും വേണം. അടുത്ത തവണ കണ്ടെയ്‌നർ ഇമേജ് നിർമ്മിക്കുമ്പോൾ, അത് വീണ്ടും രജിസ്‌ട്രിയിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്യേണ്ടിവരും, കാരണം ആ സമയത്ത് ഹോസ്റ്റിൽ ഒന്നും ശേഷിക്കില്ല.

ഓപ്ഷൻ 2. നിങ്ങൾക്ക് ഡോക്കർ-ലെവൽ പ്രകടനം ആവശ്യമുണ്ടെങ്കിൽ, നിങ്ങൾക്ക് ഹോസ്റ്റിന്റെ കണ്ടെയ്‌നർ/സ്റ്റോറേജ് നേരിട്ട് കണ്ടെയ്‌നറിലേക്ക് മൌണ്ട് ചെയ്യാം.

# podman run -v ./build:/build:z -v /var/lib/containers:/var/lib/containers --security-opt label:disabled quay.io/buildah/stable buildah  -t image2 bud /build
# podman run -v /var/lib/containers:/var/lib/containers --security-opt label:disabled  quay.io/buildah/stable buildah push image2 registry.company.com/myuser

സുരക്ഷ. കണ്ടെയ്‌നറുകൾ നിർമ്മിക്കുന്നതിനുള്ള ഏറ്റവും സുരക്ഷിതമായ മാർഗമാണിത്, കാരണം ഇത് ഹോസ്റ്റിലെ സംഭരണം പരിഷ്‌ക്കരിക്കുന്നതിന് കണ്ടെയ്‌നറിനെ അനുവദിക്കുകയും പോഡ്‌മാൻ അല്ലെങ്കിൽ CRI-O ഒരു ക്ഷുദ്രകരമായ ചിത്രം നൽകുകയും ചെയ്യും. കൂടാതെ, നിങ്ങൾ SELinux വേർതിരിക്കൽ പ്രവർത്തനരഹിതമാക്കേണ്ടതുണ്ട്, അതുവഴി Buildah കണ്ടെയ്‌നറിലെ പ്രോസസ്സുകൾക്ക് ഹോസ്റ്റിലെ സംഭരണവുമായി സംവദിക്കാൻ കഴിയും. ഈ ഓപ്‌ഷൻ ഇപ്പോഴും ഡോക്കർ സോക്കറ്റിനേക്കാൾ മികച്ചതാണെന്ന കാര്യം ശ്രദ്ധിക്കുക.

പ്രകടനം. കാഷിംഗ് പൂർണ്ണമായും ഉപയോഗിച്ചതിനാൽ ഇവിടെ ഇത് പരമാവധി ആണ്. Podman അല്ലെങ്കിൽ CRI-O ഇതിനകം ആവശ്യമായ ചിത്രം ഹോസ്റ്റിലേക്ക് ഡൗൺലോഡ് ചെയ്‌തിട്ടുണ്ടെങ്കിൽ, കണ്ടെയ്‌നറിനുള്ളിലെ ബിൽഡ പ്രോസസ്സിന് അത് വീണ്ടും ഡൗൺലോഡ് ചെയ്യേണ്ടതില്ല, കൂടാതെ ഈ ചിത്രത്തെ അടിസ്ഥാനമാക്കിയുള്ള തുടർന്നുള്ള ബിൽഡുകൾക്ക് കാഷെയിൽ നിന്ന് ആവശ്യമുള്ളത് എടുക്കാനും കഴിയും. .

ഓപ്ഷൻ 3. ഈ രീതിയുടെ സാരാംശം കണ്ടെയ്നർ ഇമേജുകൾക്കായി ഒരു പൊതു ഫോൾഡറുമായി നിരവധി ചിത്രങ്ങൾ ഒരു പ്രോജക്റ്റിലേക്ക് സംയോജിപ്പിക്കുക എന്നതാണ്.

# mkdir /var/lib/project3
# podman run --security-opt label_level=s0:C100, C200 -v ./build:/build:z 
-v /var/lib/project3:/var/lib/containers:Z quay.io/buildah/stable buildah  -t image3 bud /build
# podman run --security-opt label_level=s0:C100, C200 
-v /var/lib/project3:/var/lib/containers quay.io/buildah/stable buildah push image3  registry.company.com/myuser

ഈ ഉദാഹരണത്തിൽ, റണ്ണുകൾക്കിടയിൽ ഞങ്ങൾ പ്രോജക്റ്റ് ഫോൾഡർ (/var/lib/project3) ഇല്ലാതാക്കില്ല, അതിനാൽ പ്രോജക്റ്റിനുള്ളിലെ എല്ലാ തുടർന്നുള്ള ബിൽഡുകൾക്കും കാഷെയിൽ നിന്ന് പ്രയോജനം ലഭിക്കും.

സുരക്ഷ. ഓപ്‌ഷനുകൾ 1-നും 2-നും ഇടയിലുള്ള ചിലത്. ഒരു വശത്ത്, കണ്ടെയ്‌നറുകൾക്ക് ഹോസ്റ്റിലെ ഉള്ളടക്കത്തിലേക്ക് ആക്‌സസ് ഇല്ല, അതനുസരിച്ച്, Podman/CRI-O ഇമേജ് സ്‌റ്റോറേജിലേക്ക് മോശമായ എന്തെങ്കിലും സ്ലിപ്പ് ചെയ്യാൻ കഴിയില്ല. മറുവശത്ത്, അതിന്റെ രൂപകൽപ്പനയുടെ ഭാഗമായി, ഒരു കണ്ടെയ്നറിന് മറ്റ് കണ്ടെയ്നറുകളുടെ അസംബ്ലിയിൽ ഇടപെടാൻ കഴിയും.

പ്രകടനം. Podman/CRI-O ഉപയോഗിച്ച് ഇതിനകം ഡൗൺലോഡ് ചെയ്‌ത ചിത്രങ്ങൾ നിങ്ങൾക്ക് ഉപയോഗിക്കാൻ കഴിയാത്തതിനാൽ, ഹോസ്റ്റ് തലത്തിൽ പങ്കിട്ട കാഷെ ഉപയോഗിക്കുന്നതിനേക്കാൾ മോശമാണ് ഇവിടെ. എന്നിരുന്നാലും, Buildah ചിത്രം ഡൗൺലോഡ് ചെയ്‌തുകഴിഞ്ഞാൽ, പ്രോജക്‌റ്റിനുള്ളിലെ ഏത് തുടർന്നുള്ള ബിൽഡുകളിലും ചിത്രം ഉപയോഗിക്കാനാകും.

അധിക സംഭരണം

У കണ്ടെയ്നറുകൾ/സംഭരണം അധിക സ്റ്റോറുകൾ (അധിക സ്റ്റോറുകൾ) പോലുള്ള രസകരമായ ഒരു കാര്യമുണ്ട്, ഇതിന് നന്ദി, കണ്ടെയ്നറുകൾ സമാരംഭിക്കുകയും നിർമ്മിക്കുകയും ചെയ്യുമ്പോൾ, കണ്ടെയ്നർ എഞ്ചിനുകൾക്ക് വായന-മാത്രം ഓവർലേ മോഡിൽ ബാഹ്യ ഇമേജ് സ്റ്റോറുകൾ ഉപയോഗിക്കാൻ കഴിയും. അടിസ്ഥാനപരമായി, നിങ്ങൾക്ക് storage.conf ഫയലിലേക്ക് ഒന്നോ അതിലധികമോ റീഡ്-ഒൺലി സ്റ്റോറേജുകൾ ചേർക്കാൻ കഴിയും, അതുവഴി നിങ്ങൾ കണ്ടെയ്‌നർ ആരംഭിക്കുമ്പോൾ, കണ്ടെയ്‌നർ എഞ്ചിൻ അവയിൽ ആവശ്യമുള്ള ഇമേജിനായി തിരയുന്നു. മാത്രമല്ല, ഈ സ്റ്റോറേജുകളിലൊന്നും അത് കണ്ടെത്തിയില്ലെങ്കിൽ മാത്രമേ അത് രജിസ്ട്രിയിൽ നിന്ന് ചിത്രം ഡൗൺലോഡ് ചെയ്യുകയുള്ളൂ. കണ്ടെയ്നർ എഞ്ചിന് എഴുതാവുന്ന സ്റ്റോറേജിലേക്ക് മാത്രമേ എഴുതാൻ കഴിയൂ...

നിങ്ങൾ മുകളിലേക്ക് സ്ക്രോൾ ചെയ്ത് quay.io/buildah/stable ഇമേജ് നിർമ്മിക്കാൻ ഞങ്ങൾ ഉപയോഗിക്കുന്ന Dockerfile നോക്കുകയാണെങ്കിൽ, ഇതുപോലുള്ള വരികൾ ഉണ്ട്:

# Adjust storage.conf to enable Fuse storage.
RUN sed -i -e 's|^#mount_program|mount_program|g' -e '/additionalimage.*/a "/var/lib/shared",' /etc/containers/storage.conf
RUN mkdir -p /var/lib/shared/overlay-images /var/lib/shared/overlay-layers; touch /var/lib/shared/overlay-images/images.lock; touch /var/lib/shared/overlay-layers/layers.lock

ആദ്യ വരിയിൽ, കണ്ടെയ്നർ ഇമേജിനുള്ളിൽ ഞങ്ങൾ /etc/containers/storage.conf പരിഷ്ക്കരിക്കുന്നു, സ്റ്റോറേജ് ഡ്രൈവറോട് /var/lib/shared ഫോൾഡറിൽ "additionalimagestores" ഉപയോഗിക്കാൻ പറയുന്നു. അടുത്ത വരിയിൽ ഞങ്ങൾ ഒരു പങ്കിട്ട ഫോൾഡർ സൃഷ്‌ടിക്കുകയും രണ്ട് ലോക്ക് ഫയലുകൾ ചേർക്കുകയും ചെയ്യുന്നു, അതുവഴി കണ്ടെയ്‌നറുകൾ / സംഭരണത്തിൽ നിന്ന് ദുരുപയോഗം ഉണ്ടാകില്ല. അടിസ്ഥാനപരമായി, ഞങ്ങൾ ഒരു ശൂന്യമായ കണ്ടെയ്‌നർ ഇമേജ് സ്റ്റോർ സൃഷ്ടിക്കുകയാണ്.

ഈ ഫോൾഡറിനേക്കാൾ ഉയർന്ന തലത്തിൽ നിങ്ങൾ കണ്ടെയ്‌നറുകൾ/സ്റ്റോറേജ് മൗണ്ട് ചെയ്യുകയാണെങ്കിൽ, ബിൽഡയ്ക്ക് ചിത്രങ്ങൾ ഉപയോഗിക്കാനാകും.

ബിൽഡ കണ്ടെയ്‌നറിന് ഹോസ്റ്റുകളിലെ കണ്ടെയ്‌നറുകൾ/സ്റ്റോർ എന്നിവ വായിക്കാനും എഴുതാനും കഴിയുമ്പോൾ, പോഡ്‌മാൻ/സിആർഐ-ഒ ലെവലിൽ ഇമേജുകൾ കാഷെ ചെയ്യുന്നതുമൂലം പരമാവധി പ്രകടനം നടത്തുമ്പോൾ, എന്നാൽ ഏറ്റവും കുറഞ്ഞ സുരക്ഷ നൽകുമ്പോൾ, മുകളിൽ ചർച്ച ചെയ്‌ത ഓപ്‌ഷൻ 2-ലേക്ക് ഇപ്പോൾ നമുക്ക് മടങ്ങാം. ഇത് സ്റ്റോറേജിലേക്ക് നേരിട്ട് എഴുതാം. ഇപ്പോൾ നമുക്ക് ഇവിടെ അധിക സ്‌റ്റോറേജ് ചേർക്കുകയും രണ്ട് ലോകങ്ങളിലും ഏറ്റവും മികച്ചത് നേടുകയും ചെയ്യാം.

# mkdir /var/lib/containers4
# podman run -v ./build:/build:z -v /var/lib/containers/storage:/var/lib/shared:ro -v  /var/lib/containers4:/var/lib/containers:Z  quay.io/buildah/stable 
 buildah  -t image4 bud /build
# podman run -v /var/lib/containers/storage:/var/lib/shared:ro  
-v >/var/lib/containers4:/var/lib/containers:Z quay.io/buildah/stable buildah push image4  registry.company.com/myuser
# rm -rf /var/lib/continers4

ഹോസ്റ്റിന്റെ /var/lib/containers/storage, റീഡ്-ഒൺലി മോഡിൽ കണ്ടെയ്‌നറിനുള്ളിൽ /var/lib/shared എന്നതിലേക്ക് മൗണ്ട് ചെയ്‌തിരിക്കുന്നു എന്നത് ശ്രദ്ധിക്കുക. അതിനാൽ, ഒരു കണ്ടെയ്‌നറിൽ പ്രവർത്തിക്കുമ്പോൾ, Podman/CRI-O (ഹലോ, സ്പീഡ്) ഉപയോഗിച്ച് മുമ്പ് ഡൗൺലോഡ് ചെയ്‌ത ഏതെങ്കിലും ഇമേജുകൾ ബിൽഡയ്ക്ക് ഉപയോഗിക്കാൻ കഴിയും, എന്നാൽ സ്വന്തം സ്റ്റോറേജിലേക്ക് മാത്രമേ എഴുതാൻ കഴിയൂ (ഹലോ, സുരക്ഷ). കണ്ടെയ്‌നറിനായുള്ള SELinux വേർതിരിക്കൽ പ്രവർത്തനരഹിതമാക്കാതെയാണ് ഇത് ചെയ്യുന്നത് എന്നതും ശ്രദ്ധിക്കുക.

പ്രധാനപ്പെട്ട ന്യൂജനൻസ്

ഒരു കാരണവശാലും നിങ്ങൾ അണ്ടർലയിങ്ങ് റിപ്പോസിറ്ററിയിൽ നിന്ന് ചിത്രങ്ങളൊന്നും ഇല്ലാതാക്കരുത്. അല്ലെങ്കിൽ, ബിൽഡ കണ്ടെയ്നർ തകർന്നേക്കാം.

മാത്രമല്ല, ഇതെല്ലാം ഗുണങ്ങളല്ല

അധിക സംഭരണത്തിന്റെ സാധ്യതകൾ മുകളിൽ പറഞ്ഞ സാഹചര്യത്തിൽ മാത്രം ഒതുങ്ങുന്നില്ല. ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് എല്ലാ കണ്ടെയ്‌നർ ചിത്രങ്ങളും പങ്കിട്ട നെറ്റ്‌വർക്ക് സ്റ്റോറേജിൽ സ്ഥാപിക്കാനും എല്ലാ ബിൽഡ കണ്ടെയ്‌നറുകളിലേക്കും അതിലേക്ക് ആക്‌സസ് നൽകാനും കഴിയും. കണ്ടെയ്‌നർ ഇമേജുകൾ നിർമ്മിക്കുന്നതിന് ഞങ്ങളുടെ CI/CD സിസ്റ്റം പതിവായി ഉപയോഗിക്കുന്ന നൂറുകണക്കിന് ചിത്രങ്ങൾ ഞങ്ങളുടെ പക്കലുണ്ടെന്ന് പറയാം. ഞങ്ങൾ ഈ ചിത്രങ്ങളെല്ലാം ഒരു സ്റ്റോറേജ് ഹോസ്റ്റിൽ കേന്ദ്രീകരിക്കുന്നു, തുടർന്ന് തിരഞ്ഞെടുത്ത നെറ്റ്‌വർക്ക് സ്റ്റോറേജ് ടൂളുകൾ (NFS, Gluster, Ceph, ISCSI, S3...) ഉപയോഗിച്ച്, എല്ലാ Buildah അല്ലെങ്കിൽ Kubernetes നോഡുകളിലേക്കും ഞങ്ങൾ ഈ സ്റ്റോറേജിലേക്കുള്ള പൊതുവായ ആക്‌സസ് തുറക്കുന്നു.

ഇപ്പോൾ ഈ നെറ്റ്‌വർക്ക് സ്റ്റോറേജ് /var/lib/shared-ലെ ബിൽഡ കണ്ടെയ്‌നറിലേക്ക് മൗണ്ട് ചെയ്‌താൽ മതി, അത്രമാത്രം - Buildah കണ്ടെയ്‌നറുകൾക്ക് ഇനി പുൾ വഴി ചിത്രങ്ങൾ ഡൗൺലോഡ് ചെയ്യേണ്ടതില്ല. അങ്ങനെ, ഞങ്ങൾ പ്രീ-പോപ്പുലേഷൻ ഘട്ടം വലിച്ചെറിയുകയും കണ്ടെയ്നറുകൾ ഉരുട്ടാൻ ഉടൻ തയ്യാറാകുകയും ചെയ്യുന്നു.

തീർച്ചയായും, ഇമേജുകൾ ഡൗൺലോഡ് ചെയ്യാതെ തന്നെ എവിടെയും കണ്ടെയ്‌നറുകൾ സമാരംഭിക്കാനും പ്രവർത്തിപ്പിക്കാനും ഇത് ഒരു തത്സമയ കുബർനെറ്റസ് സിസ്റ്റത്തിലോ കണ്ടെയ്‌നർ ഇൻഫ്രാസ്ട്രക്ചറിലോ ഉപയോഗിക്കാം. മാത്രമല്ല, കണ്ടെയ്‌നർ രജിസ്‌ട്രി, അതിലേക്ക് അപ്‌ഡേറ്റ് ചെയ്‌ത ഒരു ചിത്രം അപ്‌ലോഡ് ചെയ്യുന്നതിനുള്ള ഒരു പുഷ് അഭ്യർത്ഥന സ്വീകരിക്കുന്നു, ഈ ചിത്രം ഒരു പങ്കിട്ട നെറ്റ്‌വർക്ക് സ്റ്റോറേജിലേക്ക് സ്വയമേവ അയയ്‌ക്കാൻ കഴിയും, അവിടെ അത് എല്ലാ നോഡുകളിലും തൽക്ഷണം ലഭ്യമാകും.

കണ്ടെയ്നർ ചിത്രങ്ങൾ ചിലപ്പോൾ അനേകം ജിഗാബൈറ്റ് വലുപ്പത്തിൽ എത്താം. നോഡുകളിലുടനീളം അത്തരം ചിത്രങ്ങൾ ക്ലോൺ ചെയ്യുന്നത് ഒഴിവാക്കാൻ അധിക സംഭരണത്തിന്റെ പ്രവർത്തനക്ഷമത നിങ്ങളെ അനുവദിക്കുന്നു കൂടാതെ കണ്ടെയ്‌നറുകൾ ലോഞ്ച് ചെയ്യുന്നത് തൽക്ഷണം ആക്കുന്നു.

കൂടാതെ, ഞങ്ങൾ നിലവിൽ ഓവർലേ വോളിയം മൗണ്ടുകൾ എന്ന പുതിയ സവിശേഷതയിൽ പ്രവർത്തിക്കുന്നു, ഇത് കണ്ടെയ്നറുകൾ നിർമ്മിക്കുന്നത് കൂടുതൽ വേഗത്തിലാക്കും.

തീരുമാനം

Kubernetes/CRI-O, Podman, അല്ലെങ്കിൽ Docker എന്നിവയിലെ ഒരു കണ്ടെയ്‌നറിനുള്ളിൽ Buildah പ്രവർത്തിപ്പിക്കുന്നത് പ്രായോഗികവും ലളിതവും docker.socket ഉപയോഗിക്കുന്നതിനേക്കാൾ കൂടുതൽ സുരക്ഷിതവുമാണ്. ഇമേജുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നതിനുള്ള വഴക്കം ഞങ്ങൾ വളരെയധികം വർദ്ധിപ്പിച്ചിട്ടുണ്ട്, അതിനാൽ സുരക്ഷയും പ്രകടനവും തമ്മിലുള്ള ബാലൻസ് ഒപ്റ്റിമൈസ് ചെയ്യുന്നതിന് നിങ്ങൾക്ക് അവ വിവിധ രീതികളിൽ പ്രവർത്തിപ്പിക്കാനാകും.

നോഡുകളിലേക്ക് ഇമേജുകൾ ഡൗൺലോഡ് ചെയ്യുന്നത് വേഗത്തിലാക്കാനോ പൂർണ്ണമായും ഇല്ലാതാക്കാനോ അധിക സംഭരണത്തിന്റെ പ്രവർത്തനം നിങ്ങളെ അനുവദിക്കുന്നു.

അവലംബം: www.habr.com