Question

如何创建一个安全的Docker基镜像

Answer 1

## 背景 ##
我最初使用Docker的时候，每个人都在说它用起来有多简单方便，它内部的机制是有多么好，它为我们节省了多少时间。但是当我一使用它就发现，几乎所有镜像都是臃肿而且不安全的（没有使用包签名，盲目相信上游的镜像库以<code>curl | sh</code>的方式安装)，而且也没有一个镜像能实现Docker的初衷：隔离，单进程，容易分发，简洁。

Docker镜像本来不是为了取代复杂的虚拟机而设计的，后者有完整的日志、监控、警报和资源管理模块。而Docker则倾向于利用内核的<code>cgroups</code>和<code>namespaces</code>特性进行封装组合，这就好像：

在物理机器环境下，一旦内核完成了初始化，<code>init</code>进程就起来了。这也是为什么当你在Dockerfile的<code>CMD</code>指令启动的进程PID是1，这是与Unix中的进程机制类似的。

现在请查看一下你的进程列表，使用<code>top</code>或者<code>ps</code>，你会看到<code>init</code>进程占用的也是这个PID，这是每个类Unix系统的核心进程，所有进程的父进程，一旦你理解这个概念：在类Unix系统上每个进程都是init进程的子进程，你会理解Docker容器里不应该有无关的修饰文件，它应该是刚好满足进程运行需要。

如何开始
现在的应用多数是大型复杂的系统，通常都需要很多依赖库，例如有调度，编译和很多其他相关工具类应用，它们的架构通常封装性良好，通过一层层的抽象和接口把底层细节隐藏了，从某种程度上说，这也算是一种容器，但是从系统架构视角看，我们需要一种比以往虚拟环境更简单的方案了。

以Java为例

从零开始，思考你要构建一个最通用的基础容器，想想你的应用本身，它运行需要什么？

可能性有很多，如果你要运行Java应用，它需要Java运行时；如果运行Rails应用，它需要Ruby解释器，对Python应用也一样。Go和其他一些编译型语言有些许不同，我以下会提到。

在Java例子中，下一步要想的是：JRE需要什么依赖才能运行？因为它是让应用能运行的最重要的组件，所以很自然的下一步就是要想清楚JRE运行依赖于什么。

而实际上JRE并没太多依赖，它本来就是作为操作系统的抽象层，使代码不依赖于宿主系统运行，因此安装好JRE就基本准备就绪了。

（实际上，对操作系统的独立性并不是理所当然的事，有非常多的系统特有API和专有的系统扩展，但是便于举例，我们把注意力放在简单的情况下）

在Linux上，JVM主要是调用系统的C语言库，Oracle的官方JRE，使用的是libc，也就是glibc，这意味着你要运行任何Java程序，都需要先装好glibc。另外你可能需要某种shell来管理环境，还有一个与外部通讯的接口，例如网络和资源的接口。

我们总结一下Java应用示例需要的最低配置是：

JRE，在例子中我们使用Oracle JRE
glibc，JRE的依赖
一个基础环境（包含网络、内存、文件系统等资源管理工具）