डॉक छवियों को कम करने के लिए तीन सरल ट्रिक्स

जब डॉकटर कंटेनर बनाने की बात आती है, तो हमेशा छवियों के आकार को कम करने का प्रयास करना सबसे अच्छा होता है। छवियां जो समान परतों का उपयोग करती हैं और कम वजन करती हैं - अधिक तेज़ी से स्थानांतरित और तैनात की जाती हैं।

लेकिन जब RUN स्टेटमेंट का प्रत्येक निष्पादन एक नई परत बनाता है, तो आकार को कैसे नियंत्रित किया जाए? इसके अलावा, आप अभी भी छवि बनाने से पहले मध्यवर्ती कलाकृतियों की जरूरत है ...

आप शायद जानते हैं कि ज्यादातर डॉकरों की फाइलों की अपनी अजीब विशेषताएं होती हैं, उदाहरण के लिए:

 FROM ubuntu RUN apt-get update && apt-get install vim 

अच्छा, यहाँ && क्यों है? क्या यहां दो RUN स्टेटमेंट चलाना आसान नहीं है?

 FROM ubuntu RUN apt-get update RUN apt-get install vim 

डॉकर संस्करण 1.10 से शुरू होकर COPY , ADD और RUN ऑपरेटर छवि में एक नई परत जोड़ते हैं। पिछले उदाहरण में, एक के बजाय दो परतें बनाई गई थीं।

गिट्स के रूप में परतें।

डॉकर परतें छवि के पिछले और वर्तमान संस्करण के बीच अंतर को संरक्षित करती हैं। और जैसे कि कमिट करता है, वे आसान होते हैं यदि आप उन्हें अन्य रिपॉजिटरी या छवियों के साथ साझा करते हैं। वास्तव में, जब रजिस्ट्री से एक छवि का अनुरोध किया जाता है, तो केवल लापता परतें लोड की जाती हैं, जो कंटेनरों के बीच छवियों के अलगाव को सरल करता है।

लेकिन एक ही समय में, प्रत्येक परत होती है, और उनमें से अधिक, अंतिम छवि को भारी। इस संबंध में गिट रिपॉजिटरी समान हैं: रिपॉजिटरी का आकार परतों की संख्या के साथ बढ़ता है, क्योंकि इसे कमिट्स के बीच सभी परिवर्तनों को संग्रहीत करना होगा। पहले उदाहरण में, एक ही पंक्ति में कई RUN कथनों को संयोजित करने के लिए यह अच्छा अभ्यास हुआ करता था। लेकिन अब, अफसोस, नहीं।

1. डोकर-चित्रों की चरणबद्ध विधानसभा का उपयोग करके कई परतों को एक में मिलाएं

जब Git रिपॉजिटरी बढ़ती है, तो आप पूरे बदलाव के इतिहास को एक प्रतिबद्ध कर सकते हैं और इसके बारे में भूल सकते हैं। यह पता चला कि डॉकर में कुछ इसी तरह लागू किया जा सकता है - चरणबद्ध विधानसभा के माध्यम से।

चलो एक Node.js. कंटेनर बनाते हैं

index.js शुरू करते हैं:

 const express = require('express') const app = express() app.get('/', (req, res) => res.send('Hello World!')) app.listen(3000, () => { console.log(`Example app listening on port 3000!`) }) 

और package.json :

 { "name": "hello-world", "version": "1.0.0", "main": "index.js", "dependencies": { "express": "^4.16.2" }, "scripts": { "start": "node index.js" } } 

निम्नलिखित Dockerfile साथ एप्लिकेशन पैक करें:

 FROM node:8 EXPOSE 3000 WORKDIR /app COPY package.json index.js ./ RUN npm install CMD ["npm", "start"] 

एक चित्र बनाएँ:

 $ docker build -t node-vanilla . 

जांचें कि सब कुछ काम करता है:

 $ docker run -p 3000:3000 -ti --rm --init node-vanilla 

अब आप लिंक का अनुसरण कर सकते हैं: http: // localhost: 3000 और "हैलो वर्ल्ड!" देखें।

Dockerfile अब हमारे पास Dockerfile और RUN ऑपरेटर हैं, इसलिए हम मूल छवि की तुलना में कम से कम दो परतों में वृद्धि को ठीक करते हैं:

 $ docker history node-vanilla IMAGE CREATED BY SIZE 075d229d3f48 /bin/sh -c #(nop) CMD ["npm" "start"] 0B bc8c3cc813ae /bin/sh -c npm install 2.91MB bac31afb6f42 /bin/sh -c #(nop) COPY multi:3071ddd474429e1… 364B 500a9fbef90e /bin/sh -c #(nop) WORKDIR /app 0B 78b28027dfbf /bin/sh -c #(nop) EXPOSE 3000 0B b87c2ad8344d /bin/sh -c #(nop) CMD ["node"] 0B <missing> /bin/sh -c set -ex && for key in 6A010… 4.17MB <missing> /bin/sh -c #(nop) ENV YARN_VERSION=1.3.2 0B <missing> /bin/sh -c ARCH= && dpkgArch="$(dpkg --print… 56.9MB <missing> /bin/sh -c #(nop) ENV NODE_VERSION=8.9.4 0B <missing> /bin/sh -c set -ex && for key in 94AE3… 129kB <missing> /bin/sh -c groupadd --gid 1000 node && use… 335kB <missing> /bin/sh -c set -ex; apt-get update; apt-ge… 324MB <missing> /bin/sh -c apt-get update && apt-get install… 123MB <missing> /bin/sh -c set -ex; if ! command -v gpg > /… 0B <missing> /bin/sh -c apt-get update && apt-get install… 44.6MB <missing> /bin/sh -c #(nop) CMD ["bash"] 0B <missing> /bin/sh -c #(nop) ADD file:1dd78a123212328bd… 123MB 

जैसा कि आप देख सकते हैं, अंतिम छवि में पांच नई परतों की वृद्धि हुई है: हमारे Dockerfile में प्रत्येक ऑपरेटर के लिए एक। आइए अब चरणबद्ध डॉकर निर्माण का प्रयास करें। हम दो भागों से मिलकर एक ही Dockerfile उपयोग करते हैं:

 FROM node:8 as build WORKDIR /app COPY package.json index.js ./ RUN npm install FROM node:8 COPY --from=build /app / EXPOSE 3000 CMD ["index.js"] 

Dockerfile का पहला भाग तीन परतें बनाता है। फिर परतों को संयुक्त और दूसरे और अंतिम चरणों में कॉपी किया जाता है। ऊपर की छवि में दो और परतें जोड़ी गई हैं। नतीजतन, हमारे पास तीन परतें हैं।

चलो इसे आजमाएँ। सबसे पहले, एक कंटेनर बनाएँ:

 $ docker build -t node-multi-stage . 

इतिहास की जाँच:

 $ docker history node-multi-stage IMAGE CREATED BY SIZE 331b81a245b1 /bin/sh -c #(nop) CMD ["index.js"] 0B bdfc932314af /bin/sh -c #(nop) EXPOSE 3000 0B f8992f6c62a6 /bin/sh -c #(nop) COPY dir:e2b57dff89be62f77… 1.62MB b87c2ad8344d /bin/sh -c #(nop) CMD ["node"] 0B <missing> /bin/sh -c set -ex && for key in 6A010… 4.17MB <missing> /bin/sh -c #(nop) ENV YARN_VERSION=1.3.2 0B <missing> /bin/sh -c ARCH= && dpkgArch="$(dpkg --print… 56.9MB <missing> /bin/sh -c #(nop) ENV NODE_VERSION=8.9.4 0B <missing> /bin/sh -c set -ex && for key in 94AE3… 129kB <missing> /bin/sh -c groupadd --gid 1000 node && use… 335kB <missing> /bin/sh -c set -ex; apt-get update; apt-ge… 324MB <missing> /bin/sh -c apt-get update && apt-get install… 123MB <missing> /bin/sh -c set -ex; if ! command -v gpg > /… 0B <missing> /bin/sh -c apt-get update && apt-get install… 44.6MB <missing> /bin/sh -c #(nop) CMD ["bash"] 0B <missing> /bin/sh -c #(nop) ADD file:1dd78a123212328bd… 123MB 

देखें कि क्या फ़ाइल का आकार बदल गया है:

 $ docker images | grep node- node-multi-stage 331b81a245b1 678MB node-vanilla 075d229d3f48 679MB 

हां, यह छोटा हो गया है, लेकिन अभी तक महत्वपूर्ण नहीं है।

2. हम डिस्ट्रोलेस का उपयोग करके कंटेनर से सभी अनावश्यक हटा देते हैं

वर्तमान छवि हमें Node.js, yarn , npm , bash और कई अन्य उपयोगी बायनेरी प्रदान करती है। इसके अलावा, यह उबंटू पर आधारित है। इस प्रकार, इसे तैनात करते हुए, हमें कई उपयोगी बायनेरिज़ और उपयोगिताओं के साथ एक पूर्ण ऑपरेटिंग सिस्टम मिलता है।

हालांकि, कंटेनर चलाने के लिए हमें उनकी आवश्यकता नहीं है। केवल निर्भरता की जरूरत है Node.js.

डॉकटर कंटेनरों को एक प्रक्रिया के संचालन का समर्थन करना चाहिए और इसे चलाने के लिए उपकरणों का न्यूनतम आवश्यक सेट होना चाहिए। इसके लिए संपूर्ण ऑपरेटिंग सिस्टम की आवश्यकता नहीं है।

तो हम Node.js. को छोड़कर इसके बारे में सब कुछ प्राप्त कर सकते हैं

लेकिन कैसे?

Google पहले से ही एक समान समाधान के साथ आया है - GoogleCloudPlatform / distroless ।

रिपॉजिटरी के लिए विवरण पढ़ता है:

डिस्ट्रोलेस छवियों में केवल एप्लिकेशन और उसकी निर्भरताएं होती हैं। कोई पैकेज मैनेजर, शेल या अन्य प्रोग्राम नहीं हैं जो आमतौर पर मानक लिनक्स वितरण में पाए जाते हैं।

यह वही है जो आपको चाहिए!

नई छवि प्राप्त करने के लिए Dockerfile चलाएं:

 FROM node:8 as build WORKDIR /app COPY package.json index.js ./ RUN npm install FROM gcr.io/distroless/nodejs COPY --from=build /app / EXPOSE 3000 CMD ["index.js"] 

हम हमेशा की तरह छवि एकत्र करते हैं:

 $ docker build -t node-distroless . 

आवेदन ठीक काम करना चाहिए। कंटेनर चलाने के लिए:

 $ docker run -p 3000:3000 -ti --rm --init node-distroless 

और http: // localhost: 3000 पर जाएं । क्या अतिरिक्त बायनेरिज़ के बिना छवि आसान हो गई है?

 $ docker images | grep node-distroless node-distroless 7b4db3b7f1e5 76.7MB 

बस ऐसे ही! अब इसका वजन केवल 76.7 एमबी है, जितना कि 600 एमबी कम!

सब कुछ शांत है, लेकिन एक महत्वपूर्ण बिंदु है। जब कंटेनर चल रहा है, और आपको इसकी जांच करने की आवश्यकता है, तो आप उपयोग करके कनेक्ट कर सकते हैं:

 $ docker exec -ti <insert_docker_id> bash 

एक चल रहे कंटेनर से कनेक्ट करना और bash शुरू करना SSH सत्र बनाने के समान है।

लेकिन चूंकि डिस्ट्रोलेस मूल ऑपरेटिंग सिस्टम का एक स्ट्रिप-डाउन संस्करण है, इसलिए कोई अतिरिक्त बायनेरिज़ नहीं हैं, न ही, वास्तव में, एक शेल!

शेल नहीं होने पर एक चल रहे कंटेनर से कैसे जुड़ें?

सबसे दिलचस्प बात यह है कि कुछ भी नहीं।

यह बहुत अच्छा नहीं है, क्योंकि केवल एक कंटेनर में बायनेरिज़ को निष्पादित किया जा सकता है। और केवल वही लॉन्च किया जा सकता है जो Node.js है:

 $ docker exec -ti <insert_docker_id> node 

वास्तव में, इसमें एक प्लस है, क्योंकि अगर कुछ हमलावर कंटेनर तक पहुंच प्राप्त कर सकते हैं, तो यह शेल की पहुंच की तुलना में बहुत कम नुकसान पहुंचाएगा। दूसरे शब्दों में, कम बायनेरिज़ - कम वजन और उच्च सुरक्षा। लेकिन, अधिक जटिल डिबगिंग की कीमत पर।

यहां यह ध्यान दिया जाना चाहिए कि यह उत्पादों को पर्यावरण पर कनेक्ट करने और डिबगिंग के लायक नहीं है। बेहतर रूप से कॉन्फ़िगर लॉगिंग और निगरानी प्रणालियों पर भरोसा करना बेहतर है।

लेकिन क्या होगा अगर हमें अभी भी डिबगिंग की आवश्यकता है, और फिर भी हम चाहते हैं कि डॉक की छवि सबसे छोटी हो?

3. अल्पाइन के साथ आधार छवियों को कम करें

आप अल्पाइन छवि के साथ अनियंत्रण को बदल सकते हैं।

अल्पाइन लिनक्स एक सुरक्षा-उन्मुख, हल्के वितरण है जो मसल लिबास और बिजीबॉक्स पर आधारित है। लेकिन हम एक शब्द नहीं लेंगे, बल्कि इसकी जाँच करेंगे।

node:8-alpine का उपयोग करके Dockerfile चलाएं node:8-alpine :

 FROM node:8 as build WORKDIR /app COPY package.json index.js ./ RUN npm install FROM node:8-alpine COPY --from=build /app / EXPOSE 3000 CMD ["npm", "start"] 

एक चित्र बनाएँ:

 $ docker build -t node-alpine . 

आकार की जाँच करें:

 $ docker images | grep node-alpine node-alpine aa1f85f8e724 69.7MB 

आउटपुट पर, हमारे पास 69.7MB है - यह एक अनियंत्रित छवि से भी कम है।

आइए जांचें कि क्या एक काम करने वाले कंटेनर से कनेक्ट करना संभव है (डिस्ट्रोल्स की छवि के मामले में, हम ऐसा नहीं कर सके)।

कंटेनर लॉन्च करें:

 $ docker run -p 3000:3000 -ti --rm --init node-alpine Example app listening on port 3000! 

और कनेक्ट करें:

 $ docker exec -ti 9d8e97e307d7 bash OCI runtime exec failed: exec failed: container_linux.go:296: starting container process caused "exec: \"bash\": executable file not found in $PATH": unknown 

असफल। लेकिन हो सकता है कि कंटेनर में sh ...

 $ docker exec -ti 9d8e97e307d7 sh / # 

बहुत बढ़िया! हम कंटेनर से कनेक्ट करने में कामयाब रहे, और साथ ही इसकी छवि भी छोटी है। लेकिन यहाँ कुछ बारीकियाँ थीं।

अल्पाइन छवियां muslc पर आधारित हैं, C. के लिए एक वैकल्पिक मानक पुस्तकालय है। जबकि अधिकांश लिनक्स वितरण, जैसे उबंटू, डेबियन और CentOS, glibc पर आधारित हैं। यह माना जाता है कि ये दोनों पुस्तकालय कर्नेल के साथ काम करने के लिए एक ही इंटरफ़ेस प्रदान करते हैं।

हालांकि, उनके पास अलग-अलग लक्ष्य हैं: ग्लिबक सबसे आम और तेज़ है, जबकि मसलक कम जगह लेता है और एक सुरक्षा उपाय के साथ लिखा जाता है। जब कोई एप्लिकेशन संकलित करता है, एक नियम के रूप में, यह एक विशिष्ट सी लाइब्रेरी के लिए संकलित करता है। यदि आपको इसे किसी अन्य लाइब्रेरी के साथ उपयोग करने की आवश्यकता है, तो आपको फिर से कंपाइल करना होगा।

दूसरे शब्दों में, अल्पाइन चित्रों पर कंटेनरों का निर्माण अप्रत्याशित घटनाओं को जन्म दे सकता है, क्योंकि इसमें प्रयुक्त मानक सी लाइब्रेरी अलग है। अंतर को ध्यान में रखा जा सकता है जब precompiled बायनेरिज़ के साथ काम कर रहा है, जैसे कि C ++ के लिए नोड्स।

उदाहरण के लिए, समाप्त प्रेत पैकेज अल्पाइन पर काम नहीं करता है।

तो मूल छवि क्या चुनना है?

अल्पाइन, अनियंत्रित या वेनिला देखो - निश्चित रूप से, स्थिति के अनुसार निर्णय लेना बेहतर है।

यदि आप ठेस से निपट रहे हैं और सुरक्षा महत्वपूर्ण है, तो शायद अनियंत्रण सबसे उपयुक्त होगा।

डॉकर छवि में जोड़ा गया प्रत्येक बाइनरी पूरे एप्लिकेशन की स्थिरता के लिए एक निश्चित जोखिम जोड़ता है। कंटेनर में केवल एक बाइनरी स्थापित होने से इस जोखिम को कम किया जा सकता है।

उदाहरण के लिए, यदि कोई हमलावर किसी विचलित छवि के आधार पर चल रहे एप्लिकेशन में भेद्यता पा सकता है, तो वह कंटेनर में शेल नहीं चला सकता क्योंकि यह वहां नहीं था!

यदि किसी कारणवश docker की छवि का आकार आपके लिए अत्यंत महत्वपूर्ण है, तो यह निश्चित रूप से अल्पाइन-आधारित छवियों पर अधिक ध्यान देने योग्य है।

वे वास्तव में छोटे हैं, लेकिन, संगतता की कीमत पर। अल्पाइन एक अलग मानक सी लाइब्रेरी, मस्केल का उपयोग करता है, इसलिए कभी-कभी समस्याएं पॉप अप हो जाएंगी। उदाहरण लिंक पर देखे जा सकते हैं: https://github.com/grpc/grpc/issues/8528 और https://github.com/grpc/grpc/issues/6126 ।

वेनिला छवियां परीक्षण और विकास के लिए आदर्श हैं।

हां, वे बड़े हैं, लेकिन उबंटू स्थापित के साथ एक पूर्ण मशीन पर जितना संभव हो उतना दिखता है। इसके अलावा, ओएस में सभी बायनेरिज़ उपलब्ध हैं।

प्राप्त डोकर छवियों के आकार को संक्षेप में लिखें:

node:8 681 एमबी
node:8 678MB वृद्धिशील निर्माण के साथ node:8
gcr.io/distroless/nodejs 76.7MB
node:8-alpine 69.7 एमबी

अनुवादक से शब्द जुदा करना

हमारे ब्लॉग पर अन्य लेख पढ़ें:

कुबेरनेट्स में स्टेटफ़ुल बैकअप

बड़ी संख्या में विषम वेब परियोजनाओं का समर्थन करना

रेडमाइन के लिए टेलीग्राम बॉट। अपने और लोगों के लिए जीवन को सरल कैसे बनाएं