菜鸟教程

镜像最小化与不运行 root

在 Docker 安全最佳实践中，减小镜像体积和避免 root 用户运行容器可以降低攻击面和潜在风险。

1. 镜像最小化

  • 选择轻量基础镜像：
    • Alpine、Debian Slim 等
FROM alpine:3.18

`

  • 多阶段构建（Multi-stage build）：

    • 构建阶段安装依赖和编译
    • 最终镜像只包含运行所需文件
# 构建阶段
FROM golang:1.21 AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp

# 运行阶段
FROM alpine:latest
COPY --from=builder /app/myapp /app/myapp
CMD ["/app/myapp"]
  • 删除不必要文件与缓存：
RUN apt-get update && apt-get install -y curl \
    && rm -rf /var/lib/apt/lists/*

2. 不运行 root 用户

  • 创建非 root 用户并切换：
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

  • 好处：

    • 降低容器被入侵后系统权限风险
    • 遵守安全合规要求

  • 验证当前用户：

whoami

3. 配置文件和数据权限

  • 为非 root 用户设置适当权限：
RUN mkdir /app/data && chown -R appuser:appgroup /app/data
  • 挂载卷时，确保目录权限正确：
volumes:
  - ./data:/app/data:rw

4. 最佳实践总结

  • 使用最小基础镜像，减少攻击面
  • 多阶段构建降低最终镜像体积
  • 不以 root 用户运行容器，提高安全性
  • 对挂载卷和数据目录设置正确权限
  • 定期扫描镜像漏洞，确保安全

通过镜像最小化和非 root 用户运行策略，可以构建更安全、轻量且易于维护的 Docker 镜像，保障容器化应用在生产环境中的稳定运行。