Dockerfile容器化应用最佳实践

最新推荐文章于 2023-12-25 21:59:40 发布

原创最新推荐文章于 2023-12-25 21:59:40 发布 · 843 阅读

CC 4.0 BY-SA版权

文章标签：

24 篇文章

订阅专栏

本文详细介绍了Dockerfile容器化应用的最佳实践，包括如何创建尽可能小的镜像、加快构建速度、优化镜像使用体验以及简化构建过程。重点讲述了选择合适的基础镜像、减少镜像层、利用构建缓存、设置正确入口点以及选择安全的基础镜像等策略。

将一个应用容器化，就是将这个应用构建成Docker镜像，然后以Docker容器方式来运行。

构建Docker镜像就是编写Dockerfile，并通过docker build 命令构建成Docker镜像。

可以用”小、快、好、省“来概括Dockerfile的最佳实践。

Why？

小的镜像的好处包括构建镜像快，占用磁盘空间小，网络传输快（比如docker pull 和docker push 时速度快）。

How？

镜像名称	大小	使用场景
busybox	1.15MB	临时测试用
alpine	4.41MB	主要用于测试，也可用于生产环境
centos	200MB	主要用于生产环境，支持CentOS/Red Hat，常用于追求稳定性的企业应用
ubuntu	81.1MB	主要用于生产环境，常用于人工智能计算和企业应用
debian	101MB	主要用于生产环境

尽量减少镜像层的数目

RUN 、ADD 和 COPY 命令每次执行时都会创建一个镜像层，每个镜像层都会有一定的磁盘开销。

通过合并Dockerfile命令，比如将多条安装包和库文件命令合并成一个RUN命令（通过\来换行），可以显著减少镜像层的数目。

参考文档：
- https://docs.docker.com/develop/develop-images/dockerfile_best-practices/#minimize-the-number-of-layers
- https://docs.docker.com/develop/develop-images/dockerfile_best-practices/#sort-multi-line-arguments
不要安装不必要的包

不要安装不必要的包，可以减小构建出来Docker镜像的大小。
构建后删除临时的包
比如解压压缩包后，因为容器运行时不会用到原来的压缩包，因此可以删除原有的压缩包。

Why？

加快构建的好处不言而喻，比如加快构建Docker镜像环节可以提升整个部署流水线的效率。

How？

使用清洁的构建上下文(build context)

Docker CLI是由给定一个目录或者URL作为构建上下文的，在镜像构建之前会将该上下文发送到Docker Daemon。建议在一个新的目录里创建Dockerfile，然后在该目录里只添加镜像包含的文件。这为docker build命令提供了一个更加清洁的上下文并且允许更快地构建镜像。否则，扫描带有多个文件的目录将不必要地减慢构建速度。

参考文档：https://docs.docker.com/engine/reference/builder/#usage
利用构建时缓存(build cache)

Docker build构建镜像时会重复使用已经构建过的中间层作为缓存来加快构建过程。而Docker build构建时是按照Dockerfile顺序构建的，因此需要将不经常变化的生成层的命令放在前面，把经常变化的生成层的命令放在后面。

参考文档：https://docs.docker.com/develop/develop-images/dockerfile_best-practices/#leverage-build-cache

Why？

好用的镜像，造就好用的容器。好用的容器是指可以使用Docker 标准命令前后台运行，传入运行时环境变量控制容器行为，传入运行命令替换缺省命令，优雅的停止，方便查看日志和进入容器内部调试。

How？

选择官方基础镜像

选择官方认证的基础镜像，是构建出好用的镜像的前提。
设置正确的程序入口点

容器的程序入口点就是容器启动后要启动的进程。

比如一个Java应用的容器启动后，要启动的进程通常是java -jar app.jar。

Dockerfile中的CMD 命令和 ENTRYPOINT 命令的多种格式，以及单独使用和混合使用很容易混淆，请参考：
https://docs.docker.com/engine/reference/builder/#cmd
https://docs.docker.com/engine/reference/builder/#entrypoint
https://docs.docker.com/engine/reference/builder/#understand-how-cmd-and-entrypoint-interact
不要加入不必要的限制

不要加入不必要的限制，比如只能以root用户运行，只能以特定uid 运行，特权端口，特权模式运行。

Why？

Dockerfile越复杂，越容易出错；Dockerfile有问题，运行的容器会有安全隐患。

How？

选择高级别基础镜像

尽量使用高级别基础镜像来简化编写Dockerfile的工作，比如为Java应用容器化使用openjdk基础镜像，而不是从alpine 操作系统基础镜像开始构建。
保持Dockerfile尽可能简单

参考Docker官方和其它一些好的开源软件的Dockerfile，让Dockerfile尽量保持简单，可读。
使用经过安全扫描的基础镜像

经过安全扫描的基础镜像，可以让容器运行在一个安全的环境。