Kleine, reproduzierbare Container-Images bauen

Ziel

Ein Image erzeugen, dessen Inhalt vollständig durch das Repository festgelegt ist, das klein genug ist, um schnell verschoben zu werden, und das sich gefahrlos ausführen lässt.

Voraussetzungen

Eine fixierte Abhängigkeitsmenge und eine klare Trennung zwischen Build-Zeit- und Laufzeitbedarf.

Schritte

1. Mit FROM von einem offiziellen, schlanken Basis-Image starten, das per Digest angeheftet ist (image:tag@sha256:…), und festhalten, wann es zuletzt aktualisiert wurde.
2. Anweisungen von am seltensten bis am häufigsten ändernd ordnen (Abhängigkeiten vor Quellcode), damit das Layer-Caching greift.
3. Abhängigkeiten aus dem Lockfile mit Hash-Prüfung installieren; innerhalb des Builds keine "latest"-Auflösung der Paketmanager laufen lassen.
4. Bei Bedarf an Kompilierung einen Multi-Stage-Build verwenden: Build-Werkzeuge bleiben in der Builder-Stage; die finale Stage kopiert nur die Artefakte.
5. Nur die Laufzeitdateien kopieren, mit einer .dockerignore, die Tests, Caches, Secrets und das Verzeichnis .git ausschliesst.
6. Einen Nicht-Root-USER anlegen und zu ihm wechseln, HEALTHCHECK setzen und den Befehl in Exec-Form definieren.
7. Secrets nie über ARG übergeben oder in Layer einbacken; sie bleiben sonst in der Image-Historie erhalten.

Erwartetes Ergebnis

Zwei Builds desselben Commits erzeugen gleichwertige Images; das Image enthält keine Build-Werkzeuge, Secrets oder Testdaten; der Container startet unprivilegiert und meldet seinen Gesundheitszustand.

Grenzen und Prüfbasis

Das Anheften per Digest muss bewusst aktualisiert werden, um Sicherheitsupdates des Basis-Images zu erhalten. Distroless- oder Scratch-Images verringern die Angriffsfläche, erschweren aber das Debugging. Die Praktiken folgen der zitierten Dokumentation.