Docker 映像檔建構最佳實踐解析

– 6 分鐘閱讀

Docker 映像檔建構是現代軟體開發流程中不可或缺的一環。本文從 ADD 指令的用法開始，逐步引導讀者理解 Docker 映像檔的分層概念以及如何有效利用 COPY 指令簡化建構流程。接著，文章深入探討多階段建構的優勢，如何分離編譯環境與執行環境以縮減映像檔大小，並以 Joomla 映像檔的建構案例說明實際應用。此外，文章也強調了自動化建構與測試的重要性，提供 GitLab CI/CD 的設定範例，讓讀者瞭解如何整合 CI/CD 流程以提升開發效率與軟體品質。最後，文章著重於安全性考量，提醒讀者避免敏感資訊洩露、定期更新基礎映像檔以及最小化安裝以降低安全風險，並提供具體的 Dockerfile 指令範例，幫助讀者建構更安全可靠的 Docker 映像檔。

Docker 映像檔建構：基礎與分層映像檔技術解析（續）

新增檔案：ADD 指令詳解（續）

ADD 指令是 Dockerfile 中用於將檔案或目錄從本地檔案系統或遠端 URL 複製到映像檔中的重要指令。正確使用 ADD 指令可以簡化映像檔的建構過程，並提高其可維護性。

ADD 指令的基本語法

  1. 複製本地檔案或目錄：
ADD <src> <dest>

此語法用於將本地檔案或目錄 <src> 複製到映像檔中的 <dest> 路徑。

  1. 複製遠端檔案：
ADD <url> <dest>

可以使用 URL 將遠端檔案下載並複製到映像檔中的指定路徑。

  1. 自動解壓縮：
ADD <archive.tar> <dest>

如果 <src> 是 tar 檔案，Docker 將自動解壓縮該檔案到 <dest> 路徑。

ADD 指令的最佳實踐

  • 當來源是本地檔案或目錄時，建議使用 COPY 指令代替 ADD，因為 COPY 更加直觀和簡單。
  • 當需要從 URL 下載檔案時，可以使用 ADD 指令。
  • 當需要自動解壓縮 tar 檔案時，ADD 指令非常有用。

例項：Joomla 映像檔中的 ADD 指令應用

# 將 Joomla 原始碼新增到映像檔中
ADD https://github.com/joomla/joomla-cms/releases/download/3.4.1/Joomla_3.4.1-Stable-Full_Package.tar.gz /var/www/html/

在此範例中，我們使用 ADD 指令從指定的 URL 下載 Joomla 的原始碼壓縮檔，並將其解壓縮到 /var/www/html/ 目錄中。

圖表翻譯：

  flowchart TD
 A[開始] --> B{來源型別}
 B -->|本地檔案| C[使用 COPY 指令]
 B -->|遠端 URL| D[使用 ADD 指令]
 B -->|壓縮檔案| E[使用 ADD 指令自動解壓縮]
 C --> F[結束]
 D --> F
 E --> F

此圖示展示了根據來源型別選擇適當指令的流程。如果來源是本地檔案，建議使用 COPY 指令；如果是遠端 URL 或壓縮檔案，則使用 ADD 指令。

自動化建構與測試（續）

在前面的章節中，我們討論瞭如何使用 Dockerfile 建構 Docker 映像檔。本文將進一步探討如何實作自動化建構和測試，以提高開發效率和軟體品質。

自動化建構流程圖（續）

  flowchart TD
 A[程式碼提交] --> B[觸發自動化建構]
 B --> C[建構映像檔]
 C --> D[執行測試]
 D --> E{測試透過?}
 E -->|是| F[發布映像檔]
 E -->|否| G[錯誤處理]
 F --> H[佈署到生產環境]
 G --> I[修復問題並重新提交程式碼]

自動化建構與測試的優勢

  1. 提高效率：自動化建構和測試可以節省大量的人力和時間成本。
  2. 確保品質：自動化測試可以及時發現問題，確保軟體品質。
  3. 快速回饋：開發人員可以快速獲得測試結果，及時修復問題。

實作自動化建構與測試

要實作自動化建構和測試，可以使用 CI/CD 工具，如 Jenkins、GitLab CI/CD 等。以下是一個使用 GitLab CI/CD 的範例：

# .gitlab-ci.yml 範例
stages:
  - build
  - test
  - deploy

variables:
  DOCKER_IMAGE: $CI_REGISTRY_IMAGE

build:
  stage: build
  script:
    - docker build -t $DOCKER_IMAGE .
  only:
    - main

test:
  stage: test
  script:
    - docker run $DOCKER_IMAGE /bin/bash -c "make test"
  only:
    - main

deploy:
  stage: deploy
  script:
    - docker tag $DOCKER_IMAGE $CI_REGISTRY_IMAGE:latest
    - docker push $CI_REGISTRY_IMAGE:latest
    - docker run -d -p 80:80 $CI_REGISTRY_IMAGE:latest
  only:
    - main

內容解密：

此範例展示瞭如何使用 GitLab CI/CD 實作自動化建構、測試和佈署。首先定義了建構、測試和佈署的三個階段。然後，在每個階段中執行相應的指令碼。最後，使用 only 關鍵字指定只有 main 分支的程式碼變更才會觸發 CI/CD 流程。

安全性考量

在建構 Docker 映像檔時，安全性是一個重要的考量因素。以下是一些提高 Docker 映像檔安全性的最佳實踐：

  1. 使用官方基礎映像：官方基礎映像通常會及時修復已知的安全漏洞。
  2. 定期更新依賴項：保持映像檔中的依賴項為最新版本，以避免已知的安全漏洞。
  3. 最小化映像檔大小：只安裝必要的軟體包，以減少潛在的安全風險。
  4. 使用非 root 使用者執行容器：避免使用 root 使用者執行容器，以減少安全風險。

圖表翻譯：

  flowchart TD
 A[開始] --> B[選擇官方基礎映像]
 B --> C[定期更新依賴項]
 C --> D[最小化映像檔大小]
 D --> E[使用非 root 使用者執行容器]
 E --> F[結束]

此圖示展示了提高 Docker 映像檔安全性的流程。首先選擇官方基礎映像，然後定期更新依賴項，接著最小化映像檔大小，最後使用非 root 使用者執行容器。

Dockerfile 最佳實踐與進階應用

在前面的章節中，我們已經深入探討了 Dockerfile 的基礎語法和關鍵指令。本章節將進一步探討 Dockerfile 的最佳實踐、進階應用以及相關的安全考量。

Dockerfile 最佳實踐

編寫高效的 Dockerfile 需要遵循一些最佳實踐，以確保建構出的 Docker 映像檔既高效又安全。

1. 最小化層數

Docker 映像檔是由多個層（layers）組成的，每個指令（如 RUN、COPY、ADD）都會建立一個新的層。過多的層數會增加映像檔的大小和複建構時間。

# 不推薦：多個 RUN 指令建立多個層
RUN apt-get update
RUN apt-get install -y curl

# 推薦：合併 RUN 指令減少層數
RUN apt-get update && apt-get install -y curl

2. 使用多階段建構

多階段建構允許我們在同一個 Dockerfile 中使用多個 FROM 指令，從而可以將編譯環境和執行環境分開，減少最終映像檔的大小。

# 第一階段：編譯環境
FROM golang:alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o main .

# 第二階段：執行環境
FROM alpine:latest
WORKDIR /root/
COPY --from=builder /app/main .
CMD ["./main"]

3. 最小化許可權

在容器中執行應用程式時，應盡量避免使用 root 使用者，以減少安全風險。

# 建立非 root 使用者並切換到該使用者
RUN adduser -D myuser
USER myuser

Dockerfile 進階應用

1. 使用 ARG 指令進行動態建構

ARG 指令允許在建構過程中傳遞變數，從而實作動態建構。

ARG VERSION=latest
FROM nginx:${VERSION}

建構時可以透過 --build-arg 引數傳遞 VERSION 變數：

docker build --build-arg VERSION=1.21 -t mynginx .

2. 使用 HEALTHCHECK 指令監控容器健康狀態

HEALTHCHECK 指令允許定義檢查容器健康狀態的命令。

HEALTHCHECK --interval=30s --timeout=5s --retries=3 \
  CMD curl --fail http://localhost:80 || exit 1

Dockerfile 安全考量

1. 避免敏感資訊洩露

不要在 Dockerfile 中硬編碼敏感資訊，如密碼或 API 金鑰。可以使用環境變數或安全的憑證管理方案。

# 不推薦：硬編碼敏感資訊
ENV MYSQL_ROOT_PASSWORD=secret

# 推薦：使用環境變數或 Docker Secret
ENV MYSQL_ROOT_PASSWORD=${MYSQL_ROOT_PASSWORD}

2. 定期更新基礎映像檔

保持基礎映像檔（如 ubuntu、alpine 等）更新，以取得最新的安全補丁。

FROM ubuntu:latest

3. 最小化安裝

只安裝必要的軟體包，避免安裝不必要的軟體包，以減少攻擊面。

# 推薦：只安裝必要的軟體包
RUN apt-get update && apt-get install -y --no-install-recommends curl

Mermaid 圖表：Dockerfile 建構流程最佳實踐

  flowchart LR
 A[開始建構 Docker 映像檔] --> B[使用多階段建構]
 B --> C[最小化層數]
 C --> D[最小化許可權]
 D --> E[使用 ARG 進行動態建構]
 E --> F[使用 HEALTHCHECK 監控健康狀態]
 F --> G[完成 Docker 映像檔建構]

圖表剖析：

此圖表展示了 Dockerfile 建構流程中的最佳實踐。首先，使用多階段建構來分離編譯和執行環境。接著，透過合併指令來最小化層數，以減少映像檔大小並提高建構效率。然後，透過切換到非 root 使用者來最小化許可權，增強安全性。使用 ARG 指令進行動態建構，以增加靈活性。最後，透過 HEALTHCHECK 指令監控容器的健康狀態，確保容器的穩定執行。這些最佳實踐共同構成了高效、安全的 Dockerfile 建構流程。

綜觀容器化技術的發展趨勢，Docker 映像檔建構效率與安全性至關重要。本文深入探討了 Dockerfile 的核心指令、最佳實踐以及進階應用，涵蓋了從 ADD 指令的用法到多階段建構的優勢，並特別強調了安全性的考量，例如最小化許可權和避免敏感資訊洩露。此外，文章還闡述瞭如何利用 CI/CD 工具實作自動化建構和測試，從而提升軟體交付效率和品質。精簡映像檔體積、強化安全防護以及整合更完善的自動化流程將是 Docker 映像檔建構的持續最佳化方向，這也將進一步推動容器化技術在更多領域的廣泛應用。

玄貓

玄貓

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。