Kaniko 是一个工具，可以在容器或 Kubernetes 集群中从 Dockerfile 构建容器镜像，而无需依赖 Docker 守护进程。没错，你没听错——不需要 Docker 守护进程。这就像魔法，但有更多的 YAML。

使用 Kaniko 的好处

  • 在无法轻松或安全运行 Docker 守护进程的环境中构建镜像，例如 Kubernetes
  • 告别特权访问的噩梦
  • 享受更安全的构建过程（你的安全团队会爱上你）
  • 快速、高效，不需要你做出巨大的牺牲

设置 Kaniko：三步走

第一步：设置

首先，让我们动手写一些 YAML。以下是一个运行 Kaniko 的基本 Kubernetes pod 规范：


apiVersion: v1
kind: Pod
metadata:
  name: kaniko
spec:
  containers:
  - name: kaniko
    image: gcr.io/kaniko-project/executor:latest
    args:
    - "--dockerfile=Dockerfile"
    - "--context=git://github.com/your-repo/your-project.git"
    - "--destination=your-registry/your-image:tag"
    volumeMounts:
    - name: kaniko-secret
      mountPath: /kaniko/.docker
  restartPolicy: Never
  volumes:
  - name: kaniko-secret
    secret:
      secretName: regcred
      items:
        - key: .dockerconfigjson
          path: config.json

这个 YAML 是你进入 Kaniko 世界的金票。它设置了一个运行 Kaniko 执行器的 pod，告诉它在哪里找到你的 Dockerfile，在哪里推送构建的镜像，以及如何与注册表进行身份验证。

第二步：CI/CD 集成

现在，让我们将其集成到你的 CI/CD 流水线中。以下是 GitLab CI 的一个片段：


build:
  stage: build
  image:
    name: gcr.io/kaniko-project/executor:debug
    entrypoint: [""]
  script:
    - mkdir -p /kaniko/.docker
    - echo "{\"auths\":{\"$CI_REGISTRY\":{\"username\":\"$CI_REGISTRY_USER\",\"password\":\"$CI_REGISTRY_PASSWORD\"}}}" > /kaniko/.docker/config.json
    - /kaniko/executor --context $CI_PROJECT_DIR --dockerfile $CI_PROJECT_DIR/Dockerfile --destination $CI_REGISTRY_IMAGE:$CI_COMMIT_TAG

这个脚本设置了与注册表的身份验证，并运行 Kaniko 来构建和推送你的镜像。这就像给 Kaniko 你的车钥匙，但别担心，它是个负责任的司机。

第三步：执行

一切设置好后，Kaniko 将会：

  1. 拉取你的源代码
  2. 读取你的 Dockerfile
  3. 逐层构建镜像（就像 Docker，但更酷）
  4. 将最终镜像推送到你指定的注册表

所有这些都无需访问 Docker 守护进程。这就像在没有炉子的厨房里做一顿美味的饭菜——令人印象深刻，对吧？

剧情反转：Kaniko 的怪癖

现在，在你全心投入 Kaniko 之前，有几点需要注意：

  • 它不支持所有 Dockerfile 指令（抱歉，HEALTHCHECK 爱好者）
  • 在某些情况下，构建镜像可能比 Docker 慢
  • 在没有直接访问构建环境的情况下，调试可能更棘手
“能力越大，责任越大” - 本叔叔（可能也是某个 Kaniko 用户）

高级 Kaniko 技巧：提示和技巧

1. 缓存为王

通过利用 Kaniko 的缓存功能加速构建：


/kaniko/executor --cache=true --cache-repo=your-cache-repo/cache

这告诉 Kaniko 使用和更新缓存，可能会为你节省宝贵的构建时间。

2. 多阶段构建

Kaniko 与多阶段构建配合良好。以下是一个 Dockerfile 示例：


FROM golang:1.16 AS builder
WORKDIR /app
COPY . .
RUN go build -o main .

FROM alpine:latest  
RUN apk --no-cache add ca-certificates
WORKDIR /root/
COPY --from=builder /app/main .
CMD ["./main"]

Kaniko 将像 Docker 一样处理这个，给你精简、高效、适合生产的镜像。

3. 自定义注册表

需要使用自定义或私有注册表？没问题！只需调整你的 Kaniko 参数：


/kaniko/executor --dockerfile=Dockerfile \
                 --context=dir:///workspace \
                 --destination=my-custom-registry.com/my-image:tag \
                 --registry-mirror=mirror.gcr.io

故事的寓意

Kaniko 不仅仅是一个工具；它是一种生活方式。好吧，也许这有点夸张，但它确实为在受限环境中进行安全、灵活的镜像构建开辟了新的可能性。通过将 Kaniko 集成到你的 CI/CD 流水线中，你不仅仅是在解决技术问题——你是在进化你的开发过程。

关键要点：

  • Kaniko 让你在没有 Docker 的情况下构建 Docker 镜像——令人震惊，对吧？
  • 它非常适合无法运行 Docker 守护进程的环境
  • 与 CI/CD 流水线的集成很简单（我们喜欢简单）
  • 虽然它有一些限制，但安全优势通常超过这些限制

所以，下次有人告诉你不能在没有特权访问的情况下构建 Docker 镜像时，只需微笑并说：“看我的 Kaniko。”你的运维团队会感谢你，你的安全团队会赞美你，你将成为当天的英雄。现在，去构建那些镜像吧，就像你是个容器忍者一样！

“在容器化的世界中，Kaniko 不是我们应得的英雄，而是我们需要的英雄。” - 可能是某个 DevOps 哲学家

记住，拥有强大的 Kaniko 力量意味着巨大的责任。明智地使用它，愿你的构建永远对你有利！