Образ контейнера
Простыми словами
Образ — подготовленный комплект для запуска, контейнер — уже созданная рабочая среда. Один образ можно использовать для нескольких экземпляров приложения.
Как применяется
Образы собирают в CI, хранят в реестре и запускают в среде исполнения. Контролируют происхождение базового образа, версии зависимостей, включённые файлы и сканирование. Digest фиксирует содержимое, но сам по себе не подтверждает, кто его создал и безопасно ли оно.
Пример применения
Сборка случайно копирует файл с токеном в один из слоёв. Удаление файла на следующем шаге не гарантирует исчезновение значения из распространяемых слоёв. Команда исключает секрет из процесса сборки, отзывает токен и выпускает новый образ с проверенным составом.
Не путать с
- КонтейнерЗапущенный экземпляр среды на основе образа, со своим состоянием исполнения.
- Реестр контейнеровСервис хранения и выдачи образов, а не сам программный артефакт.
- ТегИмя ссылки на образ, которое может изменяться; digest связан с конкретным содержимым.
Как это работает
- Выбрать основуПроверяют источник базового образа и необходимые зависимости.
- Собрать артефактДобавляют приложение и параметры запуска без чувствительных значений.
- Проверить содержимоеСканируют зависимости, секреты и настройки, выполняют тестовый запуск.
- Зафиксировать версиюПубликуют образ и продвигают проверенный digest в рабочую среду.
Продолжить изучение
Связанные термины
Частые вопросы
Обычно контейнер использует ядро хоста. Образ содержит пользовательские файлы и библиотеки, а не отдельную полноценную виртуальную машину.
latest — последняя безопасная версия?Нет. Это условный тег, его смысл и содержимое задаёт издатель.
Можно передавать пароль при сборке?Не включайте его в слои и метаданные. Применяют специальные механизмы секретов сборки и доставки во время запуска.