Dystrybucja Arch Linux zapewniła reprodukowalne tworzenie obrazów kontenerów, co pozwala upewnić się, że dostarczane w obrazie pliki binarne zostały skompilowane z dostarczonego kodu źródłowego i nie zawierają ukrytych zmian. Reprodukowalne obrazy Arch Linux są umieszczane na Docker Hub z tagiem repro. Każdy, kto chce, może zbudować z kodu źródłowego obraz kontenera, który będzie identyczny z dostarczanymi przez projekt gotowymi obrazami, i upewnić się, że infrastruktura budowlana dystrybucji, kompilator oraz zestaw narzędzi do budowy nie zostały skompromitowane.
Podczas tworzenia reprodukowalnych wersji uwzględniane są takie szczegóły, jak dokładne dopasowanie zależności; zastosowanie niezmiennego składu i wersji narzędzi do budowy; identyczny zestaw opcji i ustawień domyślnych; zachowanie porządku kompilacji plików (stosowanie tych samych metod sortowania); wyłączenie dodawania przez kompilator niestabilnych informacji, takich jak losowe wartości, odniesienia do ścieżek plików oraz dane o dacie i czasie budowy. Na reprodukowalność kompilacji wpływają również błędy i stany wyścigu w narzędziach.
Reprodukowalne obrazy są dostarczane oddzielnie, ponieważ w celu zapewnienia pełnej reprodukowalności nie są w nich zawarte klucze dla menedżera pakietów pacman. W przypadku konieczności aktualizacji lub instalacji pakietów za pomocą pacman w tych obrazach należy uruchomić polecenie do ponownego utworzenia magazynu kluczy („pacman-key --init && pacman-key --populate archlinux”). Aby sprawdzić tożsamość własnej budowy z obrazem dostępnym przez Docker Hub, można porównać hasze wydawane poprzez polecenie „podman inspect --format '{{.Digest}}' ”, lub skorzystać z narzędzia diffoci.
Źródło: opennet.ru
