无操作系统镜像只保留对你的应用程序有用的部分——运行时、库和应用程序本身。其他的呢？再见！没有 Bash，没有包管理器，没有那些“可能某天需要”的工具。只有你的应用程序和它的基本需求，在容器中过着最好的生活。

让我们来比较一下典型的基础镜像：

  • 传统基础镜像（例如，Ubuntu）："我带来了整个厨房的水槽，以防万一！"
  • Alpine 基础镜像："我打包得很轻，但我还是带了牙刷和一些零食。"
  • 无操作系统镜像："我只需要身上的衣服和我可靠的应用程序。"

无操作系统镜像非常适合微服务、API 和任何以安全性和效率为首要任务的应用程序。说实话，在 Kubernetes 的世界里，这应该适用于所有应用程序。

为什么无操作系统镜像是 Kubernetes 的最佳伙伴

在你的 Kubernetes 集群中使用无操作系统镜像就像给你的基础设施减肥，同时送它去安全训练营。以下是 K8s 喜欢它们的原因：

  • 增强的安全性：更少的组件意味着更少的潜在漏洞。这就像锁上所有的门窗，而不仅仅是前门。
  • 快速部署：更小的镜像意味着更快的拉取时间。你的部署将像闪电一样快速。
  • 资源效率：更少的臃肿意味着更少的存储和内存使用。你的集群会感谢你给它的额外空间。

但让我们现实一点——这并不全是彩虹和独角兽。无操作系统镜像的主要挑战是调试。没有 shell，你不能简单地 SSH 进去查看。但别担心！我们将在本文后面解决这个问题。

构建你的第一个无操作系统镜像：逐步指南

准备好构建你的第一个无操作系统镜像了吗？让我们开始吧！我们将为一个简单的 Java 应用程序创建一个无操作系统镜像。

步骤 1：选择你的基础

首先，选择一个无操作系统基础镜像。对于 Java，我们将使用 gcr.io/distroless/java。这就像为你的纸牌屋选择完美的基础——对稳定性至关重要。

步骤 2：编写多阶段 Dockerfile

这里是魔法发生的地方。我们将使用多阶段构建来保持整洁：

# 构建阶段
FROM maven:3.8.4-openjdk-11-slim AS build
WORKDIR /app
COPY pom.xml .
COPY src ./src
RUN mvn clean package

# 最终阶段
FROM gcr.io/distroless/java:11
COPY --from=build /app/target/myapp.jar /app/myapp.jar
CMD ["java", "-jar", "/app/myapp.jar"]

这个 Dockerfile 就像是两个城市的故事：构建城市（所有编译发生的地方）和运行城市（你的应用程序过着最好的生活的地方）。

步骤 3：构建和运行

现在，让我们让我们的创造物活起来：

docker build -t my-distroless-app:v1 .
docker run my-distroless-app:v1

瞧！你刚刚创建并运行了你的第一个无操作系统容器。拍拍自己的背，你值得拥有！

调试无操作系统容器：福尔摩斯的艺术

调试无操作系统容器可能感觉像是在没有任何线索的情况下解决一个谜题。但别怕，华生！我们有一些技巧。

Sidecar 方法

一种聪明的调试方法是使用 sidecar 容器。这就像带着你的工具箱去工地：

apiVersion: v1
kind: Pod
metadata:
  name: debug-pod
spec:
  containers:
  - name: app
    image: my-distroless-app:v1
  - name: debugger
    image: busybox
    command: ['sleep', '3600']

现在你可以进入调试器容器并进行调查：

kubectl exec -it debug-pod -c debugger -- /bin/sh

像专业人士一样记录日志

由于你不能 SSH 进入你的容器，良好的日志记录实践将成为你的好朋友。使用日志框架并将这些日志发送到集中系统。这就像为未来的自己留下面包屑。

优化无操作系统镜像：数字减肥的艺术

想让你的无操作系统镜像更加苗条吗？这里有一些专业提示：

  • 虔诚地使用多阶段构建。这就像为旅行打包一个行李箱，然后只带当天需要的东西。
  • 删除任何不必要的文件或依赖项。如果你的应用程序不需要它，就把它踢到路边！
  • 对于像 Python 或 Node.js 这样的解释型语言，考虑使用 PyInstaller 或 pkg 等工具来创建独立的可执行文件。

以下是优化 Python 应用程序的示例：

# 构建阶段
FROM python:3.9-slim AS builder
WORKDIR /app
COPY requirements.txt .
RUN pip install --user -r requirements.txt
COPY . .
RUN pip install pyinstaller
RUN pyinstaller --onefile app.py

# 最终阶段
FROM gcr.io/distroless/base
COPY --from=builder /app/dist/app /
CMD ["/app"]

这种方法创建了一个包含所有依赖项的单个可执行文件，结果是一个超瘦的最终镜像。

安全性：锁定诺克斯堡

无操作系统镜像就像是应用程序的诺克斯堡，但即使是诺克斯堡也需要良好的实践。以下是保持紧密的方法：

  • 定期更新你的基础镜像。这就像获取安全补丁，但对于容器。
  • 扫描你的镜像以查找漏洞。Trivy 或 Clair 等工具是你的新好朋友。
  • 使用签名镜像，使用 Cosign 等工具。这就像让保镖在门口检查身份证。

Kubernetes 集成：让 K8s 和无操作系统成为好朋友

将无操作系统容器集成到 Kubernetes 中就像介绍你的两个好朋友——他们会相处得很好！以下是一些提示：

  • 设置适当的健康探测。没有 shell，你需要依赖应用程序的端点进行存活和就绪检查。
  • 挂载必要的卷。记住，你的无操作系统容器是极简主义的，所以它可能需要一些外部资源。

以下是在 Kubernetes 中部署无操作系统容器的示例 YAML：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 3
  selector:
    matchLabels:
      app: myapp
  template:
    metadata:
      labels:
        app: myapp
    spec:
      containers:
      - name: myapp
        image: my-distroless-app:v1
        ports:
        - containerPort: 8080
        livenessProbe:
          httpGet:
            path: /health
            port: 8080
        readinessProbe:
          httpGet:
            path: /ready
            port: 8080

实用工具

为了让你的无操作系统之旅更加顺利，看看这些很棒的工具：

  • Jib：为 Java 应用程序构建优化的 Docker 和 OCI 镜像，无需 Docker 守护进程。
  • Bazel：Google 的构建系统，非常适合创建可重现的构建。
  • Kaniko：从 Dockerfile 构建容器镜像，在容器或 Kubernetes 集群中。
  • Cloud Native Buildpacks：将你的应用程序源代码转换为可以在任何云上运行的镜像。

总结：无操作系统的前沿

无操作系统镜像就像容器优化的最后前沿。它们提供了增强的安全性、改进的性能和效率，使你的 Kubernetes 集群如歌般运转。当然，调试方面有挑战，但好处远远超过成本。

那么，你准备好加入无操作系统革命了吗？从小处开始，进行实验，不久你就会像专业人士一样部署精简、安全的容器。你的应用程序（和你的运维团队）会感谢你。

记住，在容器的世界里，少即是多。现在去吧，把你的镜像无操作系统化！

"最好的代码是没有代码。最好的容器是只有你的应用程序的容器。" - 匿名容器爱好者

祝大家容器化愉快！