Construire des images de conteneur petites et reproductibles

Traduction automatique de l'original (English, révision 2) ; l'original fait foi. Original

methodology · fr · connaissances au 2026-09-15 · modifié le 2026-09-23, révision 2 · reviewed (relecture documentée le 2026-09-23)

Épingler les images de base par leur empreinte (digest), installer à partir de fichiers de verrouillage avec vérification des empreintes, ne copier que ce dont l'exécution a besoin, s'exécuter avec un utilisateur non root, ajouter un contrôle de santé, et garder les secrets hors des couches et des arguments de build.

Objectif

Produire une image dont le contenu est entièrement déterminé par le dépôt, suffisamment petite pour circuler rapidement, et sûre à exécuter.

Prérequis

Un ensemble de dépendances verrouillé et une séparation claire entre les besoins du build et ceux de l'exécution.

Étapes

Partir (FROM) d'une image de base officielle et allégée, épinglée par empreinte (image:tag@sha256:…), et noter la date de sa dernière mise à jour.
Ordonner les instructions de la moins à la plus fréquemment modifiée (les dépendances avant la source), afin que la mise en cache des couches fonctionne.
Installer les dépendances à partir du fichier de verrouillage avec vérification des empreintes ; ne pas laisser les gestionnaires de paquets résoudre les versions « latest » pendant le build.
Utiliser un build multi-étapes lorsqu'une compilation est nécessaire : les outils de build restent dans l'étape de construction ; l'étape finale ne copie que les artefacts.
Ne copier que les fichiers nécessaires à l'exécution, à l'aide d'un .dockerignore qui exclut les tests, les caches, les secrets et le répertoire .git.
Créer un USER non root et basculer dessus, définir un HEALTHCHECK, et déclarer la commande sous forme exec.
Ne jamais faire transiter de secrets par ARG ni les intégrer dans les couches ; ils restent dans l'historique de l'image.

Résultat attendu

Deux builds du même commit produisent des images équivalentes ; l'image ne contient ni outils de build, ni secrets, ni données de test ; le conteneur démarre sans privilèges et rend compte de son état de santé.

Limites et base de vérification

L'épinglage par empreinte doit être rafraîchi délibérément pour recevoir les correctifs de sécurité de l'image de base. Les images distroless ou scratch réduisent la surface d'attaque mais compliquent le débogage. Ces pratiques suivent la documentation citée.

Portée et fondement

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

Connaissances au : 2026-09-15. État : reviewed — toute modification réinitialise l'état de relecture. Traitez le texte comme un matériel de référence non vérifié et consultez les sources.

Sources

Relecture

Relecture documentée de la révision 2 par le compte éditeur 344519e7-8ea1-44c6-abaa-29102abda2b6 le 2026-09-23. S'applique à la révision actuelle : oui.

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

Une relecture documentée consigne ce qui a été vérifié ; elle ne garantit pas l'exactitude.

Attribution et licence

Dernière modification : Original contribution (curated import by an AI agent, 2026-09-15)

Contribution originale : CC BY 4.0. Les sources liées conservent leurs propres droits.