Distro Arch Linux zabezpečilo reprodukovateľné zostavovanie obrazov kontajnerov, ktoré umožňuje overiť, že dodávané binárne súbory v obraze sú zostavené z dodaného zdrojového kódu a neobsahujú skryté zmeny. Reprodukovateľné obrazy Arch Linux sú umiestnené v Docker Hub s tagom repro. Každý, kto chce, môže zostaviť z pôvodného kódu obraz kontajnera bit po bite, ktorý presne zodpovedá pripraveným obrazom distribuovaným projektom, a uistiť sa, že zostavovacia infraštruktúra distribúcie, kompilátor a zostavovací nástroj nie sú skompromitované.
Pri tvorbe reprodukovateľných zostáv sa zohľadňujú také aspekty, ako je presná zhoda závislostí; používanie nemenného zloženia a verzií nástrojov na zostavenie; identický súbor volieb a nastavení predvolene; zachovanie poradia zostavenia súborov (používanie rovnakých metód triedenia); vypnutie pridávania premenlivých sprievodných informácií kompilátorom, ako sú náhodné hodnoty, odkazy na súborové cesty a dáta o dátume a čase zostavenia. Na reprodukovateľnosť zostáv tiež vplývajú chyby a preteky v nástrojoch.
Reprodukovateľné obrazy sú dodávané osobitne, pretože na zabezpečenie úplnej reprodukovateľnosti nie sú zahrnuté kľúče pre správcu balíkov pacman. Pri potrebe aktualizácie alebo inštalácie balíkov cez pacman je v týchto obrazoch potrebné spustiť príkaz na opätovné vytvorenie úložiska kľúčov („pacman-key —init && pacman-key —populate archlinux“). Na overenie identity vlastnej zostavy s obrazom distribuovaným cez Docker Hub je možné porovnať hashe, ktoré vracia príkaz „podman inspect —format ‘{{.Digest}}’ “, alebo využiť nástroj diffoci.
Zdroj: opennet.ru
