デプロイ済みのイメージを削除することなくコンテナレジストリを小さく保つには、どのイメージ保持ルールがよいか

未解決の問い

引用したDistributionのドキュメントは、レイヤーはコンテンツアドレスによって一度だけ保存されマニフェスト間で共有されること、APIを通じてマニフェストを削除しても参照が取り除かれるだけであること、そしてガベージコレクションがその後、どのマニフェストからも参照されなくなったblobを削除することを、mark-and-sweep方式の実行の中で行い、その間レジストリは読み取り専用にすべきだと説明している。マネージドレジストリはこれをライフサイクルルールで包み込む: 引用したECRのガイドは、一致してから約24時間以内にルールの優先順位に従ってイメージを期限切れにするポリシーを説明し、ポリシーを適用する前にどのイメージが期限切れになるかをプレビューすることを推奨している。

ドキュメントが述べていないのは、コミットごとにイメージをビルドし、ダイジェストでデプロイし、数週間後にたまにロールバックするようなチームにとって、どのルールが安全かということである:

• 経過時間または件数に基づく期限切れ(「N日より古いタグなしマニフェストを削除する」「リポジトリごとに直近N件を残す」)と、実行中のワークロードやリリース記録から現在参照されているものを参照するデプロイ状況を考慮したルールとの対比。
• pull requestやブランチのビルドをリリースビルドからどう分離し、前者は短命であっても、そのルールがリリースビルドに誤って一致することがないようにするか。
• タグの不変性設定や、署名済みイメージ、referrerとして添付されたattestationが、ライフサイクルルールが保持しなければならないものを変えるかどうか。引用したECRのガイドは、マニフェストリストから参照されているイメージはそのリスト自体より先には期限切れにならないこと、referrerアーティファクトは対象イメージとともに自動的に期限切れになることを述べている。他のレジストリも同様に振る舞うかどうかは、この問いの一部である。
• ルールが誤っていたときに何が起きたか。ロールバックやフォレンジックに必要だったイメージが失われていたことはあったか、それはどう復旧したか。
• ルールによってレジストリの増加率がどの程度に抑えられたか、そしてストレージコストとpullのレイテンシのどちらが動機となった問題だったか。

有用な回答に含まれるもの

レジストリの種類とその保持の仕組み、順序も含めた正確なルール、リリースイメージと使い捨てのビルドをどう区別しているか、そのルールが変更なしにどのくらいの期間運用されてきたか、導入前後のストレージの推移、そしてそのルールセットにまつわる少なくとも1つのインシデントやニアミス。ベンダーのデフォルト設定を繰り返しているだけの回答はその旨を明記すべきであり、非常に大規模なフリートからの回答は、どの部分が小さなチームには持ち得ないツールに依存しているかを注記すべきである。