构建镜像Dockerfile文件优化

云晓DwanCloud

已于 2024-03-14 01:48:17 修改

阅读量1k

点赞数 29

于 2024-03-12 23:39:06 首次发布

本文链接：https://blog.csdn.net/qq_38483331/article/details/136665862

版权

云原生专栏收录该内容

28 篇文章 2 订阅

订阅专栏

1. 减少镜像层数

2. 清理无用文件和缓存

3. 清理无用的软件包

4. 选择最小的基础镜像,如Alpine Linux

5. 使用非root用户运行

6. 把不需要的命令丢入/dev/null

7. 多阶段构建（多镜像构建）

1. 减少镜像层数

一次RUN指令形成新的一层，尽量Shell命令都写在一行，减少镜像层。

FROM ubuntu:latest

RUN apt-get update && \
    apt-get install -y nginx

# ...

2. 清理无用文件和缓存

删除yum、apt等包管理器的缓存文件 (如 yum clean all、npm cache clean --force等)
清理日志文件、临时文件等不需要的数据
在同一层中进行安装和清理,避免清理操作单独形成一层

FROM node:14

WORKDIR /app

COPY package*.json ./
RUN npm install && npm cache clean --force  #清理缓存

COPY . .

# ...

3. 清理无用的软件包

基础镜像可能包含调试工具和非必要软件包,应该移除
仅保留应用程序运行所需的最小化依赖,减小镜像体积
避免潜在的安全风险,防止黑客利用调试工具入侵

FROM debian:buster-slim

RUN apt-get update && \
    apt-get install -y --no-install-recommends wget && \
    apt-get remove -y wget && \   #删除无用的软件包
    apt-get autoremove -y && \
    rm -rf /var/lib/apt/lists/*   #删除无用的目录

# ...

4. 选择最小的基础镜像,如Alpine Linux

Alpine Linux是一个面向安全的轻型Linux发行版,镜像体积小
相比Ubuntu、CentOS等,Alpine Linux更适合作为基础镜像
务必评估Alpine Linux与应用程序的兼容性

FROM alpine:latest

RUN apk add --no-cache nodejs npm

# ...

Alpine与主流基础镜像Centos等区别：

Alpine Linux使用了musl作为其标准C库(libc)。musl是一个轻量级的C库实现,专为嵌入式系统和容器环境设计。musl与glibc相比,体积更小,启动速度更快,但在功能和兼容性方面有一些限制。
CentOS使用的是glibc(GNU C Library)作为标准C库。glibc是一个功能完善、广泛使用的C库实现,提供了丰富的系统调用和库函数。glibc与Linux生态系统高度兼容,支持广泛的软件包和应用程序。

在容器镜像中,libc库和工具链的选择对于应用程序的兼容性和性能有着重要影响。Alpine Linux和CentOS在这方面有显著的区别。

libc库的差异
- Alpine Linux使用musl作为其标准C库(libc)。musl是一个轻量级的C库实现,专为嵌入式系统和容器环境设计。它的目标是提供一个简洁、高效、安全的C库。
- CentOS使用glibc(GNU C Library)作为其标准C库。glibc是一个功能完善、广泛使用的C库实现,提供了丰富的系统调用和库函数。它与Linux生态系统高度兼容,支持广泛的软件包和应用程序。
- musl与glibc在API和ABI方面并不完全兼容。一些依赖于glibc特定功能或扩展的应用程序在musl上可能会遇到兼容性问题。这可能需要对应用程序进行修改或重新编译。
- 另一方面,musl具有更小的内存占用和更快的启动速度,这对于容器环境来说是有利的。它也被设计为更加安全,减少了潜在的漏洞和攻击面。
工具链的差异
- Alpine Linux使用基于musl的工具链,包括编译器、链接器和调试工具。这个工具链是专门为Alpine Linux和musl优化的,生成的二进制文件通常比glibc环境下的要小。
- CentOS使用基于glibc的标准GNU工具链。这个工具链与主流的Linux开发环境高度兼容,支持广泛的编程语言和库。
- 在Alpine Linux下编译的应用程序可能无法直接在CentOS下运行,反之亦然。这是因为它们链接了不同的C库和依赖。如果需要在两种环境下共享二进制文件,可能需要进行交叉编译或静态链接。
- 对于一些编程语言的运行时环境,如Java和Python,选择与其官方支持的libc版本匹配的基础镜像可以简化部署和避免兼容性问题。
性能和资源占用
- 由于musl的设计目标是轻量级和高效,Alpine Linux在内存占用和启动速度方面通常优于基于glibc的CentOS。
- 对于资源受限的环境,如嵌入式设备或高密度容器部署,Alpine Linux的低资源占用可以带来显著的优势。
- 然而,在某些特定的工作负载下,glibc的实现可能会提供更好的性能。这取决于应用程序的特征和对C库函数的使用模式。

总之,Alpine Linux和CentOS在libc库和工具链方面的差异对于容器化应用的兼容性、性能和资源占用有重要影响。Alpine Linux的musl库和优化工具链提供了更小的镜像体积和更快的启动速度,但在与glibc的兼容性方面有一些限制。CentOS的glibc库和标准工具链提供了更全面的功能和更广泛的兼容性,但在资源占用方面可能不如Alpine Linux。在选择基础镜像时,需要根据应用程序的特点、依赖需求和部署环境来权衡这些因素。

5. 使用非root用户运行

在Dockerfile中使用USER指令切换到非root用户
以最小权限原则运行应用,提高安全性
确保应用程序有足够权限访问所需资源

FROM node:14

RUN useradd --create-home appuser
USER appuser

6. 把不需要的命令丢入/dev/null

对于某些命令的标准输出和错误输出,如果不需要,可以重定向到/dev/null
避免不必要的输出写入镜像层,减小镜像体积
使用command > /dev/null 2>&1的形式进行重定向

FROM ubuntu:latest

RUN apt-get update > /dev/null 2>&1 && \
    apt-get install -y nginx > /dev/null 2>&1 && \
    apt-get clean > /dev/null 2>&1 && \
    rm -rf /var/lib/apt/lists/* > /dev/null 2>&1

# ...

7. 多阶段构建（多镜像构建）

使用多个FROM指令,将构建过程分为多个阶段
每个阶段生成一个独立的镜像,后续阶段可以使用前面阶段生成的镜像作为基础镜像
多阶段构建可以有效减小最终镜像的体积,分离构建环境和运行环境

多阶段构建(Multi-stage Builds)是Docker 17.05版本引入的一个新特性。它允许在一个Dockerfile中使用多个FROM指令,每个FROM指令都可以使用不同的基础镜像,并且每个FROM指令都开始一个新的构建阶段。

多阶段构建的主要目的是将构建过程分为多个独立的阶段,每个阶段生成一个独立的镜像。后续阶段可以使用前面阶段生成的镜像作为基础镜像,从而实现构建环境和运行环境的分离,有效减小最终镜像的体积。

下面是一个使用多阶段构建的Dockerfile示例,用于构建一个Go应用程序:`

# 第一阶段:构建阶段
FROM golang:1.16-alpine AS builder

WORKDIR /app

# 复制Go模块文件并下载依赖
COPY go.mod go.sum ./
RUN go mod download

# 复制应用程序源码并构建
COPY . .
RUN go build -o main .

# 第二阶段:运行阶段
FROM alpine:latest

WORKDIR /app

# 从构建阶段复制构建好的二进制文件
COPY --from=builder /app/main .

# 设置容器的默认启动命令
CMD ["./main"]

在这个例子中,Dockerfile分为两个阶段:

1. 构建阶段(builder):
- 使用`golang:1.16-alpine`作为基础镜像,提供Go语言构建环境
- 复制Go模块文件(`go.mod`和`go.sum`),并下载依赖包
- 复制应用程序源码,并使用`go build`命令构建生成二进制文件

2. 运行阶段:
- 使用`alpine:latest`作为基础镜像,提供一个轻量级的运行环境
- 使用`COPY --from=builder`命令从构建阶段复制构建好的二进制文件到当前阶段
- 设置容器的默认启动命令为运行二进制文件

通过多阶段构建,最终生成的镜像仅包含运行阶段所需的内容,而构建阶段使用的Go语言构建环境不会包含在最终镜像中。这样可以显著减小镜像的体积,并且提高了镜像的安全性,因为运行环境中不包含构建工具和源码。

多阶段构建非常适合于需要编译、构建的应用程序,如Go、Java、C++等。它允许你在构建阶段使用完整的构建环境和工具,而在运行阶段只保留必要的运行时依赖,从而优化镜像大小和安全性。