<返回更多

Docker优秀实践:掌握这七个技巧让你成为容器化大师

2023-09-20  51CTO  
加入收藏

译者 | 布加迪

Docker是流行的容器化软件,但不是每个人都在高效地使用它。如果您不遵循Docker的优秀实践,您的应用程序就很容易受到安全问题或性能问题的影响。

本文介绍了您可以用来高效地使用Docker功能的几个最佳实践。这些措施提高了安全性,并确保您创建易于维护的Docker文件。

1.使用官方Docker镜像

在容器化处理应用程序时,必须使用Docker镜像。您可以使用自定义配置构建镜像,也可以使用Docker的官方镜像。

构建自己的镜像需要您自行处理所有配置。比如说,若为Node.js应用程序构建镜像,您必须下载Node.js及其依赖项。这个过程很耗时,可能不会生成所有正确的配置。

Docker建议您使用官方的Node.js镜像,它包含所有正确的依赖项。Docker镜像有更好的安全措施,具有轻量级的优点,并针对各种环境进行了测试。你可以在Docker的官方镜像页面上找到官方镜像。

2.使用Docker镜像的特定版本

当您拉取官方镜像时,它通常带有最新标签,这代表该镜像的最新更新版本。每当使用该镜像构建容器,它都是上一个容器的不同版本。

使用不同的Docker镜像版本进行构建可能导致应用程序出现不可预测的行为。版本可能会与其他依赖项冲突,最终导致应用程序失败。

Docker建议您使用特定版本的镜像进行拉取和构建。官方镜像也有说明文档,介绍了最常见的用例。

比如说,使用docker pull alpine:3.18.3,而不是docker pull alpine。Docker将提取该特定版本。然后,您可以在后续构建中使用它,从而减少应用程序中的错误。您可以在Docker官方镜像页面的Supported标签和相应的Dockerfile链接下找到镜像的特定版本:

3.扫描镜像以查找安全漏洞

如何确定想要构建的镜像没有安全漏洞?扫描就行。可以使用Docker scan命令扫描Docker镜像。语法如下:

复制

docker scan [IMAGE]

您必须先登录到Docker才能扫描镜像。

复制

docker login

然后,扫描您想要检查的特定镜像:

复制

docker scan ubuntu: latest

一种名为Synk的工具可以扫描镜像,根据严重程度列出任何漏洞。您可以看到漏洞的类型和指向相关信息的链接(包括如何修复它)。您可以从扫描结果中判断镜像对您的应用程序而言是否足够安全。

4.使用小型Docker镜像

当您拉取Docker镜像时,它附带所有系统实用程序。这增加了不需要的工具的镜像大小。

大型Docker镜像占用存储空间,并且减慢容器的运行速度。它们存在安全漏洞的可能性也更大。

您可以使用Alpine镜像减小Docker镜像的大小。Alpine镜像是轻量级的,只附带必要的工具。它们减少了存储空间,使应用程序运行起来更快速、更高效。

可以在Docker上找到大多数官方镜像的Alpine版本。下面是PostgreSQL的Alpine版本的示例:

5.优化缓存镜像层

Dockerfile中的每个命令代表镜像上的一个层。这些层有不同的实用程序,并执行不同的功能。如果您查看Docker Hub上的官方镜像,将会看到用于创建它们的说明。

Dockerfile包含创建镜像所需的全部内容。这就是为什么许多开发人员青睐Docker而不是虚拟机的原因之一。

下面是示例Alpine镜像的结构:

当您构建基于镜像的应用程序时,实际上在为镜像添加更多的层。Docker从上到下在Dockerfile上运行指令,如果一个层发生了变化,Docker必须重建后续的层。

最佳实践是将您的Dockerfile按照由更改最少的文件到更改最频繁的文件这个顺序排列。不会改变的指令(比如安装)可以放在文件的顶部。

当您修改一个文件时,Docker根据修改后的文件进行构建,并在上面缓存未修改的文件。因此,流程运行速度更快。

请看上图所示的例子。如果应用程序文件发生了变化,Docker将从那里构建,它没必要再次安装NPM包。

如果从镜像构建,该过程将比从头重建所有其他层运行得更快。缓存也加快了从Docker Hub拉取和推送镜像的速度。

6.使用.dockerignore文件

在使用Dockerfile构建镜像时,您可能希望保留某些信息的私密性。一些文件和文件夹可能是项目的一部分,但您不希望将它们包含在构建过程中。

使用.dockerignore文件可以大大减小镜像大小。这是由于构建过程只包含必要的文件。它还有助于保持文件的私密性,避免暴露密钥或密码。

.dockerignore文件是您在与Dockerfile相同的文件夹中创建的一个文件。它是一个文本文件,酷似.gitignore文件,含有您不希望在构建过程中包含的任何文件的名称。

这里有一个例子:

7.使用最小权限用户原则

默认情况下,Docker使用root用户作为管理员以便获得运行命令的权限,但这种做法不好。如果其中一个容器存在漏洞,黑客就可以访问Docker主机。

为了避免这种情况,应创建专用的用户和用户组。您可以为用户组设置相应的权限,以保护敏感信息。如果用户受到危及,您可以在不暴露整个项目的情况下删除该用户。

下面这个例子展示了如何创建用户并设置权限:

一些基本镜像在其中创建了伪用户。您可以使用已安装的用户,而不是root用户权限。

最佳实践是减少漏洞和编写更简洁代码的好方法。您可以将许多最佳实践应用于使用的每项Docker特性。

一个组织良好的项目可以更容易与Kube.NETes等其他编排工具进行同步。您可以从本文中概述的这些方法入手,在学习Docker的过程中采用更多的方法。

原文标题:8 Docker Best Practices You Should Know About,作者:Sandra Dindi

关键词:Docker      点击(10)
声明:本站部分内容来自互联网,如有版权侵犯或其他问题请与我们联系,我们将立即删除或处理。
▍相关推荐
更多Docker相关>>>