Dockerfile 最佳做法：如何高效创建容器化应用

在微服务和云计算的时代，Docker 已经成为应用程序开发和部署必不可少的工具。容器化使得开发人员能够将应用程序及其依赖项打包成单一且便携的单元，确保了可预测性、可扩展性以及快速部署。然而，容器的效率很大程度上取决于 Dockerfile 是否编写得当。

本文将探讨用于构建轻量级、快速且安全容器的最佳Dockerfile（用于构建容器镜像的配置文件）编写实践。

什么是Dockerfile？

Dockerfile 是一种文本文件，包含一组用于构建 Docker 镜像的指令。每个指令执行特定的操作，例如安装软件包、复制文件，或定义启动命令。正确使用 Dockerfile 指令对于构建高效的容器非常重要。

Dockerfile 中的关键指令

• FROM : 设置新镜像的基础镜像。
• RUN ：在当前镜像之上执行一个新的指令层，并提交结果。
• CMD ：指定容器启动时运行的默认命令。
• COPY ：从构建上下文中复制文件和目录到容器文件系统中。
• ADD ：与 COPY 类似，但还具有解压存档等附加功能。
• ENV ：设置环境变量值。
• EXPOSE ：告知 Docker 容器在运行时监听的端口情况。
• ENTRYPOINT ：配置容器在运行时作为可执行文件。
• VOLUME ：为外部存储卷创建挂载点。
• WORKDIR ：设置后续指令将使用的当前工作目录。

尽量使用最小的基础镜像

基础镜像是构建您Docker镜像的基础。选一个轻量级的基础镜像可以显著减小最终镜像的大小，并且有助于最小化潜在攻击点。

• Alpine Linux : 一个流行的最小的镜像，大小约 5 MB。

      FROM alpine:latest

进入全屏，退出全屏模式

优点：小巧，安全，下载速度快。

缺点：可能需要额外的设置；由于使用的是musl而不是glibc，某些软件包可能缺少或行为不一致。

• Scratch : 一个理想的空白图像，适用于可以编译静态二进制文件的语言（Go、Rust）。

# 从零开始构建镜像
FROM scratch
# 将myapp复制到容器中
COPY myapp /myapp
CMD ["/myapp"] # 设置容器启动时运行的命令

全屏 退出全屏

减少层数

每个 RUN、COPY 和 ADD 指令都会向你的镜像添加一个新的层。结合这些命令可以帮助减少层数，从而减小整体镜像的大小。

这太低效了:

以下是用于更新软件包列表并安装Python及其依赖项的命令：

\```
RUN apt-get update
RUN apt-get install -y python
RUN apt-get install -y pip
\```

这些命令将帮助你确保系统的软件包列表是最新的，并安装Python和pip工具，以便你可以开始使用Python进行编程。

点击全屏进入，再点击退出全屏

效率高

RUN apt-get update && apt-get install -y \
    python \
    pip \
 && rm -rf /var/lib/apt/lists/*    

进入全屏，退出全屏

调整缓存层技术

Docker 利用层缓存来加快构建速度。指令的顺序会影响缓存的有效性。

• 首先复制那些不太常变的文件 ：复制那些变化不频繁的文件（如 package.json 或 requirements.txt），然后再复制剩下的源代码。

复制 package.json 到 .
运行 npm install 命令
复制 . 到 .

进入全屏，退出全屏.

• 尽量减少早期层的更改，因为这会使所有后续层的缓存失效。

小心选择依赖项

安装软件包后清理一下临时文件和缓存，这样能省点空间。

RUN pip install --no-cache-dir -r requirements.txt # 安装所需的依赖包，不使用缓存

全屏模式 退出全屏

小心处理秘密

不要在 Dockerfile 中包含敏感信息，比如密码和 API 密钥。

• 使用环境变量：运行时通过环境变量传递密钥（secrets）。
• 利用Docker Secrets：利用Docker Secrets，通过Docker Swarm或Kubernetes机制来管理密钥（secrets）。

调整图片大小

• 删除不必要的文件和数据：在安装后清理缓存、日志文件和临时文件。

运行以下命令来清理缓存并删除apt列表文件，这将帮助释放磁盘空间并加快包管理器的速度：
RUN apt-get clean && rm -rf /var/lib/apt/lists/*

全屏 / 退出全屏

• 减少安装的包：仅安装你需要的软件包。

运行以下命令来安装包：RUN apt-get install -y --no-install-recommends package.

全屏（点击进入/退出）

• 利用优化工具：例如，Docker Slim 这样的工具可以自动优化您的镜像。

利用 .dockerignore

一个 .dockerignore 文件可以让你排除在构建过程中不需要的文件和目录，减少发送给 Docker 守护程序的数据量，并保护敏感数据。

例如 .dockerignore:

# 这些是项目文件和依赖库，包括版本控制系统文件、模块文件、容器构建文件和忽略文件
.git
node_modules
Dockerfile
.dockerignore

全屏模式 退出全屏

采用多阶段构建过程

多阶段构建过程让您能够利用中间镜像，并仅将必要的组件复制到最终镜像。

Go应用程序示例:

    # 构建阶段:
    FROM golang:1.16-alpine AS builder
    WORKDIR /app
    COPY . .
    RUN go build -o myapp

    # 最终阶段:
    FROM alpine:latest
    WORKDIR /app
    COPY --from=builder /app/myapp .
    CMD ["./myapp" ]

全屏模式 退出全屏

非 root 用户运行:

为了提高安全性，尽量不要用 root 权限运行应用程序，因为这样会增加安全隐患。

RUN 添加用户 -D appuser  # 创建用户，不创建家目录
USER appuser            # 设置默认用户为 appuser

进入全屏 退出全屏

扫描漏洞

• 使用扫描工具，如 Trivy ， Anchore ，或 Clair ：这些工具可以帮助发现已知漏洞。
• 定期更新镜像文件：确保基础镜像和依赖项是最新的。

日志记录与监控

• 将日志输出到标准输出/错误流：这使得日志收集和分析更加方便。
• 集成到监控系统中：使用Prometheus或ELK Stack等工具来监控容器的健康状态。

优化过的 Node.js 应用程序 Dockerfile 文件示例

# 使用基于 Alpine Linux 的官方 Node.js 镜像
FROM node:14-alpine

# 设置工作目录为
WORKDIR /app

# 复制包文件并安装生产依赖
COPY package*.json ./
RUN npm ci --only=production

# 复制其余应用程序代码
COPY . .

# 创建一个非 root 用户并切换到该用户
RUN addgroup appgroup && adduser -S appuser -G appgroup
USER appuser

# 暴露端口
EXPOSE 3000

# 定义运行应用程序的命令为
CMD ["node", "app.js"]

全屏；退出

额外的建议

• 固定版本：固定使用特定版本的基础镜像和包，以确保构建的可重复性。

      FROM node:14.17.0-alpine

进入全屏 退出全屏

• 保持最新：经常更新依赖项和基础镜像以确保包含安全补丁。
• 添加元数据标签：用 LABEL 指令添加图像元数据。

标签 maintainer="yourname@example.com"

全屏模式 退出全屏

• 设置合适的权限：确保文件和目录的权限设置正确。
• 避免使用root用户：尽量不要用root用户，而是使用普通用户来运行应用程序。

创建高效的Docker镜像是既是一门艺术也是一门科学。通过遵循最佳实践在编写Dockerfile时，可以显著提高容器的性能、安全和管理。关注容器化生态中的新工具和方法。请记得，优化是一个持续不断的进程，总有改进的余地。