Dockerfile最佳实践：如何创建高效的容器

介绍

在微服务和云计算时代，Docker 已成为应用程序开发和部署不可或缺的工具。容器化允许开发人员将应用程序及其依赖项打包成一个单一的可移植单元，从而确保可预测性、可扩展性和快速部署。然而，容器的效率很大程度上取决于 Dockerfile 的编写是否优化。

在本文中，我们将探讨创建 Dockerfile 的最佳实践，以帮助您构建轻量级、快速和安全的容器。

Dockerfile 基础知识

什么是 Dockerfile？

Dockerfile 是一个文本文档，包含一组用于组装 Docker 镜像的指令。每条指令执行一项特定的操作，例如安装软件包、复制文件或定义启动命令。正确使用 Dockerfile 指令对于构建高效的容器至关重要。

关键 Dockerfile 说明

FROM：设置新图像的基础图像。
RUN：在当前图像的新层中执行命令并提交结果。
CMD：指定容器启动时运行的默认命令。
COPY：将文件和目录从构建上下文复制到容器文件系统。
ADD：类似于 COPY，但具有提取档案等附加功能。
ENV：设置环境变量。
EXPOSE：通知 Docker 容器在运行时监听哪些端口。
ENTRYPOINT：将容器配置为可执行文件运行。
VOLUME：为外部存储卷创建挂载点。
WORKDIR：设置后续指令的工作目录。

编写 Dockerfile 的最佳实践

使用最少的基础镜像

基础镜像是 Docker 镜像的基础。选择轻量级的基础镜像可以显著减小最终镜像大小，并最大限度地减少攻击面。

Alpine Linux：一个流行的最小图像，大小约为 5 MB。

  FROM alpine:latest

优点：体积小、安全、下载速度快。

缺点：可能需要额外配置；由于使用 musl 而非 glibc，某些软件包可能会缺失或行为异常。

Scratch：适合可以编译静态二进制文件的语言（Go、Rust）的空图像。

  FROM scratch
  COPY myapp /myapp
  CMD ["/myapp"]

减少层数

每个RUN、COPY、和ADD指令都会为图像添加一个新层。组合使用命令有助于减少层数和整体图像大小。

效率低下：

RUN apt-get update
RUN apt-get install -y python
RUN apt-get install -y pip

高效的：

RUN apt-get update && apt-get install -y \
    python \
    pip \
 && rm -rf /var/lib/apt/lists/*

优化层缓存

Docker 使用层缓存来加速构建。指令的顺序会影响缓存效率。

首先复制依赖文件：在复制其余源代码之前，先复制那些变化不频繁的文件（如package.json或）。requirements.txt

  COPY package.json .
  RUN npm install
  COPY . .

最小化早期层的变化：早期层的变化会使所有后续层的缓存无效。

明智地安装依赖项

安装包后删除临时文件和缓存以减少图像大小。

RUN pip install --no-cache-dir -r requirements.txt

谨慎管理秘密

切勿在 Dockerfile 中包含敏感数据（密码、API 密钥）。相反，请执行以下操作：

使用 BuildKit 的秘密挂载来获取构建时秘密：

# Mount secret during build
RUN --mount=type=secret,id=mysecret cat /run/secrets/mysecret

使用 Docker Compose secrets 作为运行时机密：

services:
  app:
    build:
      context: .
      secrets:
        - mysecret
secrets:
  mysecret:
    file: ./mysecret.txt

非敏感配置的环境变量：

ENV APP_PORT=3000

生产的外部秘密管理器：
HashiCorp Vault
AWS Secrets Manager
Azure 密钥保管库
Docker Swarm 机密（如果使用 Swarm 模式）

最佳实践：将秘密保留在图像层之外，并在运行时注入它们。

优化图像大小

删除不必要的文件：在安装过程中使用同一RUN命令清理缓存、日志和临时文件。这可确保这些临时文件不会保留在任何中间层中，从而有效减小最终镜像的大小。

  RUN apt-get update && apt-get install -y --no-install-recommends package \
      && apt-get clean && rm -rf /var/lib/apt/lists/*

最小化已安装的软件包：使用等标志仅安装所需的软件包--no-install-recommends。这样可以避免引入不必要的依赖项，从而进一步精简镜像。

  RUN apt-get install -y --no-install-recommends package

注意：为了最大限度地减少图像尺寸，请将此安装与清理命令结合使用，RUN如上所示。

使用优化工具：利用Docker Slim等工具，它可以自动分析和优化您的 Docker 镜像，删除不必要的组件并减小其大小，而不会改变功能。

利用 .dockerignore

文件.dockerignore允许您从构建上下文中排除文件和目录，从而减少发送到 Docker 守护程序的数据量并保护敏感信息。

.dockerignore 示例：

.git
node_modules
Dockerfile
.dockerignore

采用多阶段构建

多阶段构建允许您使用中间图像并仅将必要的工件复制到最终图像中。

Go 应用程序示例：

# Build Stage
FROM golang:1.16-alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp

# Final Image
FROM alpine:latest
WORKDIR /app
COPY --from=builder /app/myapp .
CMD ["./myapp"]

以非 root 用户身份运行

为了增强安全性，请避免以 root 用户身份运行应用程序。

RUN adduser -D appuser
USER appuser

扫描漏洞

使用扫描工具：Trivy、Anchore或Clair等工具可以帮助识别已知漏洞。
定期更新图像：保持基础图像和依赖项为最新。

日志记录和监控

将日志直接发送到 STDOUT/STDERR：这使得日志收集和分析更加容易。
与监控系统集成：使用 Prometheus 或 ELK Stack 等工具来监控容器健康状况。

示例和建议

针对 Node.js 应用程序优化的 Dockerfile 示例

# Use the official Node.js image based on Alpine Linux
FROM node:14-alpine

# Set the working directory
WORKDIR /app

# Copy package files and install dependencies
COPY package*.json ./
RUN npm ci --only=production

# Copy the rest of the application code
COPY . .

# Create a non-root user and switch to it
RUN addgroup appgroup && adduser -S appuser -G appgroup
USER appuser

# Expose the application port
EXPOSE 3000

# Define the command to run the app
CMD ["node", "app.js"]

其他建议

固定版本：使用特定版本的基础图像和包来确保构建的可重复性。

  FROM node:14.17.0-alpine

保持更新：定期更新依赖项和基础图像以包含安全补丁。
使用元数据：添加LABEL提供图像元数据的指令。

  LABEL maintainer="yourname@example.com"

设置适当的权限：确保文件和目录具有适当的权限。
避免使用 Root：始终切换到非 root 用户来运行应用程序。

结论

创建高效的 Docker 镜像既是一门艺术，也是一门科学。遵循最佳实践编写 Dockerfile，可以显著提升容器的性能、安全性和可管理性。持续更新您的知识，并随时了解容器化生态系统中的新工具和方法。请记住，优化是一个持续的过程，总有改进的空间。

文章来源：https://dev.to/idsulik/dockerfile-best-practices-how-to-create-efficient-containers-4p8o