返回文章列表
玄貓（BlackCat）

Docker 映像檔建置與安全最佳實踐

本文探討 Docker 映像檔的建置最佳化與安全強化策略，涵蓋 Docker 快取機制、多階段建置、Alpine Linux 與 Distroless 映像檔的應用，以及 Docker Registry 的建立與使用。文章提供實務操作範例與最佳實踐，協助開發者開發更精簡、安全的 Docker

Web 開發 資安
Docker 容器化 映像檔最佳化 多階段建置 Alpine Linux 安全性

Docker 映像檔的建置效率和安全性是現代軟體開發流程中至關重要的環節。本文將探討如何利用 Docker 的快取機制、多階段建置技術和精簡的基礎映像檔來最佳化映像檔大小，並提升應用程式的安全性。同時，文章也將介紹 Docker Registry 的相關知識，以及如何在本地端建立和使用私有 Registry。透過這些技術和最佳實踐，開發者可以有效地減少映像檔的體積，縮短佈署時間，並降低潛在的安全風險，從而構建更精簡、高效且安全的容器化應用程式。

Docker 建置最佳化與多階段建置技術

在現代軟體開發中，Docker 已經成為容器化應用的重要工具。為了提升 Docker 映像檔的建置效率與執行效能，我們需要深入瞭解 Docker 的快取機制、多階段建置技術以及如何利用精簡的基礎映像檔來減少映像檔大小。

Docker 快取機制解析

Docker 的快取機制是提升映像檔建置效率的關鍵。當執行 docker build 指令時，Docker 會檢查是否有現有的快取層可以重複使用。如果 Dockerfile 中的指令沒有變更，且相關檔案的校驗和（checksum）也沒有改變，Docker 就會使用快取層來避免重複執行相同的指令。

# 示範 Dockerfile 中的快取機制
FROM node:8
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .

內容解密：

  1. FROM node:8：使用官方 Node.js 8 映像檔作為基礎映像。
  2. WORKDIR /app：設定容器中的工作目錄為 /app。
  3. COPY package.json ./*：將 package.json 和 package-lock.json 複製到工作目錄。這裡使用 package*.json 可以同時匹配這兩個檔案。
  4. RUN npm install：執行 npm install 安裝依賴套件。由於這裡只複製了 package.json 相關檔案，因此只要依賴沒有變更，這個步驟就可以使用快取。
  5. COPY . .：將當前目錄的所有檔案複製到容器的工作目錄。

Docker 建置最佳化

在本地開發環境中，由於 Docker 會保留之前建置的層，因此重複建置時可以大幅提升效率。然而，在持續整合（CI）環境中，由於每次執行任務時都會建立新的機器，因此 Docker 快取通常不會被保留，這會導致建置時間變長。

為瞭解決這個問題，Docker 提供了 --cache-from 引數，允許我們指定一個已有的映像檔作為快取來源。例如：

$ docker pull python:latest
$ docker build -t python:latest --cache-from=python:latest .

內容解密：

  1. docker pull python:latest：從 Docker Hub 下載最新的 python:latest 映像檔。
  2. docker build -t python:latest –cache-from=python:latest .：建置新的 python:latest 映像檔，並使用剛才下載的映像檔作為快取來源。

使用 Node.js 建置應用程式

接下來，我們將示範如何使用 Docker 建置一個根據 Node.js 的 Web 應用程式。首先，我們建立以下檔案：

index.js

const express = require('express');
const app = express();

app.get('/', (req, res) => res.send('Hello World!'));

app.listen(3000, () => {
    console.log('Example app listening on port 3000!');
});

package.json

{
    "name": "hello-world",
    "version": "1.0.0",
    "main": "index.js",
    "dependencies": {
        "express": "^4.16.2"
    },
    "scripts": {
        "start": "node index.js"
    }
}

Dockerfile

FROM node:8
EXPOSE 3000
WORKDIR /app
COPY package.json index.js ./
RUN npm install
CMD ["npm", "start"]

建置與執行 Node.js 應用程式

  1. 建置映像檔：

    $ docker build -t node-app .

  2. 執行容器：

    $ docker run -d -p 3000:3000 -ti --rm --init node-app

內容解密：

  1. docker build -t node-app .：根據當前目錄下的 Dockerfile 建置一個名為 node-app 的映像檔。
  2. docker run -d -p 3000:3000 -ti --rm --init node-app：執行 node-app 映像檔，將容器的 3000 連線埠對映到主機的 3000 連線埠，並在背景執行。

多階段建置技術

多階段建置允許我們在同一個 Dockerfile 中使用多個 FROM 指令，每個階段可以使用不同的基礎映像檔，並且可以從前一階段複製需要的檔案。這樣可以有效減少最終映像檔的大小。

多階段 Dockerfile 範例

FROM node:8 as build
WORKDIR /app
COPY package.json index.js ./
RUN npm install

FROM node:8
COPY --from=build /app /app
EXPOSE 3000
CMD ["node", "index.js"]

內容解密：

  1. 第一階段（build）：使用 node:8 作為基礎映像，安裝依賴並準備應用程式。
  2. 第二階段：再次使用 node:8，並從第一階段複製已安裝依賴和應用程式碼到新的映像中。
  3. COPY --from=build /app /app：從名為 build 的第一階段複製 /app 目錄到當前階段的 /app 目錄。

使用 Alpine Linux 縮減映像檔大小

Alpine Linux 是一個非常精簡的 Linux 發行版，使用它作為基礎映像可以大幅縮減最終映像檔的大小。例如：

使用 Alpine Linux 的 Dockerfile 範例

FROM node:8 as build
WORKDIR /app
COPY package.json index.js ./
RUN npm install

FROM node:8-alpine
COPY --from=build /app /app
EXPOSE 3000
CMD ["npm", "start"]

內容解密：

  1. 第一階段（build）：與前面的多階段範例相同，使用 node:8 安裝依賴。
  2. 第二階段：使用 node:8-alpine，這是一個根據 Alpine Linux 的 Node.js 映像檔，比標準的 node:8 更為精簡。
  3. COPY --from=build /app /app：將第一階段的 /app 目錄複製到當前階段。

最佳化Docker映像檔大小與安全性的最佳實踐

在現代化的軟體開發流程中，Docker已經成為容器化應用的標準工具。隨著應用程式的複雜度增加，Docker映像檔的大小和安全性成為了重要的考量因素。本文將探討如何透過最佳化Docker映像檔的大小來提高安全性，並介紹相關的最佳實踐。

為什麼映像檔大小很重要？

較小的Docker映像檔具有多項優勢，包括：

  • 更快的佈署時間：較小的映像檔可以更快地下載和佈署，特別是在網路頻寬有限的環境中。
  • 減少儲存成本：較小的映像檔佔用較少的儲存空間，從而降低儲存成本。
  • 提高安全性：較小的映像檔通常包含較少的元件和函式庫，這意味著較少的攻擊面。

使用Alpine Linux最佳化映像檔大小

Alpine Linux是一個輕量級的Linux發行版，非常適合用於構建Docker映像檔。它的大小遠小於傳統的Linux發行版，因此可以顯著減少Docker映像檔的大小。

示例：使用Node.js和Alpine Linux

FROM node:alpine
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 3000
CMD ["node", "index.js"]

內容解密：

  1. FROM node:alpine：使用根據Alpine Linux的Node.js官方映像檔作為基礎映像檔。
  2. WORKDIR /app：設定工作目錄為/app。
  3. COPY package*.json ./：將package.json檔案複製到工作目錄。
  4. RUN npm install：安裝依賴項。
  5. COPY . .：將應用程式碼複製到工作目錄。
  6. EXPOSE 3000：暴露3000埠。
  7. CMD ["node", "index.js"]：設定預設命令以執行應用程式。

透過使用Alpine Linux，我們可以將Node.js應用程式的Docker映像檔大小從897MB減少到68.4MB。

使用Distroless映像檔提高安全性

Distroless映像檔是一種特殊的Docker映像檔，它只包含應用程式及其執行時依賴項，而不包含任何Linux發行版的額外元件。這種方法進一步減少了攻擊面。

示例：使用Distroless Node.js映像檔

FROM node:8 as build
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
FROM gcr.io/distroless/nodejs
COPY --from=build /app /
EXPOSE 3000
CMD ["index.js"]

內容解密：

  1. FROM node:8 as build：使用Node.js 8作為構建階段的基礎映像檔。
  2. WORKDIR /app：設定工作目錄。
  3. COPY package*.json ./ 和 RUN npm install：安裝依賴項。
  4. COPY . .：複製應用程式碼。
  5. FROM gcr.io/distroless/nodejs：切換到Distroless Node.js映像檔。
  6. COPY --from=build /app /：從構建階段複製應用程式。
  7. EXPOSE 3000 和 CMD ["index.js"]：設定埠和預設命令。

使用Distroless映像檔，我們可以將Node.js應用程式的Docker映像檔大小減少到74.4MB，並且由於減少了可用的二進位制檔案，安全性得到了提高。

Docker 映像檔最佳化流程

圖表翻譯： 此圖示展示了最佳化 Docker 映像檔大小的流程。首先選擇基礎映像檔，然後根據是否使用 Alpine Linux 或 Distroless 進行不同的處理，最終完成最佳化。這個流程圖幫助開發人員清晰地瞭解如何根據不同的需求選擇適合的最佳化路徑。

Docker Registry 與容器安全最佳實踐

隨著容器技術的普及，Docker 已經成為開發、測試和佈署應用的重要工具。然而，Docker 容器的安全問題也日益受到關注。本文將探討 Docker 的安全原理、最佳實踐、Docker Registry 的相關知識，以及如何在本地主機上建立 Docker Registry。

Docker 安全原理

從安全形度來看，Docker 容器使用主機的資源，但擁有獨立的執行環境。容器具有簡化的作業系統使用者空間，這意味著可以像保護實體機器一樣保護容器。容器之間以及容器與底層作業系統之間是隔離的，除非特別授權的儲存卷。

隔離技術

Docker 利用 Linux 核心的關鍵功能，如 Cgroups 和 namespaces，來保護容器之間的隔離。Cgroups 機制確保每個容器只能消耗其預留的資源配額。

安全性挑戰

儘管有隔離技術，容器仍然面臨一些安全挑戰。由於所有容器分享同一主機核心，一個具有管理員許可權的容器可能會對主機核心造成威脅。此外，Docker 守護程式（Docker daemon）以 root 許可權執行，因此需要限制對守護程式的存取。

安全增強措施

為瞭解決這些安全問題，Docker 支援 AppArmor、SELinux 和 Seccomp 等安全框架。這些框架可以作為核心資源的防火牆，限制容器的存取許可權。此外，Docker 使用 Linux capabilities 來限制容器的 root 許可權。

Docker Registry

Docker Registry 是儲存和分發 Docker 映象的服務。Docker Hub 是預設的公共 Registry，但也可以建立私有 Registry。

建立本地 Docker Registry

要在本地主機上建立 Docker Registry，可以使用官方的 Registry 映象。以下是建立本地 Registry 的步驟：

docker run -d -p 5000:5000 --name registry registry:2

組態 Docker 使用本地 Registry

要讓 Docker 使用本地 Registry，需要在 Docker 組態檔案中新增 Registry 的 URL。

{
  "insecure-registries": ["localhost:5000"]
}

重新啟動 Docker 服務後，就可以使用本地 Registry 了。

上傳映象到本地 Registry

要上傳映象到本地 Registry，需要先為映象打標籤，然後使用 docker push 命令上傳。

docker tag myimage:latest localhost:5000/myimage:latest
docker push localhost:5000/myimage:latest

從本地 Registry 下載映象

要從本地 Registry 下載映象，可以使用 docker pull 命令。

docker pull localhost:5000/myimage:latest

Docker 安全最佳實踐

以下是一些 Docker 安全最佳實踐：

  1. 執行 Docker 守護程式於專用伺服器：將 Docker 守護程式執行於專用伺服器，並與其他機器隔離。
  2. 使用 Unix 作業系統：使用 Unix 作業系統執行 Docker 守護程式。
  3. 謹慎掛載主機目錄：避免將主機目錄掛載為容器卷，以免容器獲得對主機目錄的讀寫許可權。
  4. 使用 SSL/TLS 加密通訊：使用 SSL/TLS 加密 Docker 的通訊。
  5. 避免以 root 許可權執行容器：避免以 root 許可權執行容器內的程式。
  6. 啟用安全組態檔案：啟用 AppArmor 和 SELinux 等安全組態檔案。
  7. 保持核心更新：保持主機核心更新至最新版本，以修補安全漏洞。
  8. 遵循 Linux 系統管理最佳實踐：遵循 Linux 系統管理的最佳實踐，如不以 root 許可權執行軟體、停用 SETUID 許可權等。

內容解密：

上述最佳實踐涵蓋了 Docker 安全的多個方面，包括守護程式的執行、容器組態、網路通訊和核心更新等。遵循這些最佳實踐，可以提高 Docker 容器的安全性。

隨著容器技術的不斷發展，未來我們可以期待更多的安全功能和改進。例如，更強大的隔離技術、更靈活的安全策略和更完善的漏洞管理等。同時，我們也需要繼續關注和學習新的安全最佳實踐，以保持對容器安全的關注和警惕。

Docker 安全架構圖示

@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle

title Docker 映像檔建置與安全最佳實踐

package "Docker 架構" {
    actor "開發者" as dev

    package "Docker Engine" {
        component [Docker Daemon] as daemon
        component [Docker CLI] as cli
        component [REST API] as api
    }

    package "容器運行時" {
        component [containerd] as containerd
        component [runc] as runc
    }

    package "儲存" {
        database [Images] as images
        database [Volumes] as volumes
        database [Networks] as networks
    }

    cloud "Registry" as registry
}

dev --> cli : 命令操作
cli --> api : API 呼叫
api --> daemon : 處理請求
daemon --> containerd : 容器管理
containerd --> runc : 執行容器
daemon --> images : 映像檔管理
daemon --> registry : 拉取/推送
daemon --> volumes : 資料持久化
daemon --> networks : 網路配置

@enduml

圖表翻譯： 此圖示展示了 Docker 的安全架構，包括 Docker Client 與 Docker Daemon 之間的通訊、Docker Daemon 對容器的管理以及容器的安全隔離機制。圖中顯示了 Cgroups 和 Namespaces 如何隔離容器，以及 AppArmor 和 SELinux 如何保護核心資源。同時，也展示了 Docker Daemon 與客戶端之間的 SSL/TLS 加密通訊。