25、Docker资源访问模型、CI/CD及多架构镜像构建全解析

Docker资源访问模型、CI/CD及多架构镜像构建全解析

1. Docker资源访问模型

Docker资源的访问模型较为简单，保障Docker引擎安全主要涉及两方面：一是对CLI与API之间的通信进行加密，二是进行身份验证，确保用户有权限访问API。该访问模型是全有或全无的，若无法连接到API则无法进行任何操作，若能连接则可执行所有操作。

1.1 安全考量

不同的基础设施和安全模型成熟度会影响对这种访问模型的看法。例如，运行内部集群且无公共访问，为管理者使用单独网络并限制IP访问，每天轮换Docker CA，虽有一定深度防御，但仍需考虑内部员工的攻击风险。

1.2 替代方案

• Kubernetes和Docker Enterprise ：具备基于角色的访问控制模型，可限制用户对资源的访问及操作权限。
• GitOps方法 ：将CI/CD管道反转，采用基于拉取的模型。集群在新构建被批准时会自动部署更新，无需共享凭证。此方法使一切可重复且版本化，包括应用源代码、部署YAML文件和基础设施设置脚本，能在Git中为整个堆栈提供单一事实来源，便于审计和回滚。若从零开始采用此方法，需花费一定时间，可先从简单的CI/CD管道开始，逐步改进流程和工具。

2. CI/CD实验

在之前的CD练习中，CI阶段将镜像推送到本地注册表，但PWD无法访问该注册表。实际上，部署覆盖文件使用了来自Docker Hub的不同镜像标签。在本次实验中，需完成以下目标：
1. 为CI镜像添加标签，使