Docker最佳實踐：5個方法精簡鏡像

精簡Docker鏡像的好處不少，不只能夠節省存儲空間和帶寬，還能減小安全隱患。優化鏡像大小的手段多種多樣，因服務所使用的基礎開發語言不一樣而有差別。本文將介紹精簡Docker鏡像的幾種通用方法。 精簡Docker鏡像大小的必要性 Docker鏡像由不少鏡像層（Layers）組成（最多127層），鏡像層依賴於一系列的底層技術，好比文件系統(filesystems)、寫時複製(copy-on-write)、聯合掛載(union mounts)等技術，你能夠查看Docker社區文檔以瞭解更多有關Docker存儲驅動的內容，這裏就再也不贅述技術細節。總的來講，Dockerfile中的每條指令都會建立一個鏡像層，繼而會增長總體鏡像的尺寸。

下面是精簡Docker鏡像尺寸的好處：

一、減小構建時間

二、減小磁盤使用量

三、減小下載時間

四、由於包含文件少，攻擊面減少，提升了安全性

五、提升部署速度

五點建議減少Docker鏡像尺寸 0 1 優化基礎鏡像 優化基礎鏡像的方法就是選用合適的更小的基礎鏡像，經常使用的 Linux 系統鏡像通常有 Ubuntu、CentOs、Alpine，其中Alpine更推薦使用。大小對好比下： lynzabo@ubuntu ~/s> docker images REPOSITORY TAG IMAGE ID CREATED SIZE ubuntu latest 74f8760a2a8b 8 days ago 82.4MB alpine latest 11cd0b38bc3c 2 weeks ago 4.41MB centos 7 49f7960eb7e4 7 weeks ago 200MB debian latest 3bbb526d2608 8 days ago 101MB lynzabo@ubuntu ~/s>

Alpine是一個高度精簡又包含了基本工具的輕量級Linux發行版，基礎鏡像只有4.41M，各開發語言和框架都有基於Alpine製做的基礎鏡像，強烈推薦使用它。

查看上面的鏡像尺寸對比結果，你會發現最小的鏡像也有4.41M，那麼有辦法構建更小的鏡像嗎？答案是確定的，例如 gcr.io/google_containers/pause-amd64:3.1 鏡像僅有742KB。爲何這個鏡像能這麼小？在爲你們解密以前，再推薦兩個基礎鏡像：

scratch鏡像

scratch是一個空鏡像，只能用於構建其餘鏡像，好比你要運行一個包含全部依賴的二進制文件，如Golang程序，能夠直接使用scratch做爲基礎鏡像。如今給你們展現一下上文提到的Google pause鏡像Dockerfile：

FROM scratch ARG ARCH ADD bin/pause-${ARCH} /pause ENTRYPOINT ["/pause"]

Google pause鏡像使用了scratch做爲基礎鏡像，這個鏡像自己是不佔空間的，使用它構建的鏡像大小几乎和二進制文件自己同樣大，因此鏡像很是小。固然在咱們的Golang程序中也會使用。對於一些Golang/C程序，可能會依賴一些動態庫，你可使用自動提取動態庫工具，好比ldd、linuxdeployqt等提取全部動態庫，而後將二進制文件和依賴動態庫一塊兒打包到鏡像中。

busybox鏡像

scratch是個空鏡像，若是但願鏡像裏能夠包含一些經常使用的Linux工具，busybox鏡像是個不錯選擇，鏡像自己只有1.16M，很是便於構建小鏡像。

0 2 串聯 Dockerfile 指令 你們在定義Dockerfile時，若是太多的使用RUN指令，常常會致使鏡像有特別多的層，鏡像很臃腫，並且甚至會碰到超出最大層數（127層）限制的問題，遵循 Dockerfile 最佳實踐，咱們應該把多個命令串聯合併爲一個 RUN（經過運算符&&和/ 來實現），每個 RUN 要精心設計，確保安裝構建最後進行清理，這樣才能夠下降鏡像體積，以及最大化的利用構建緩存。 下面是一個優化前Dockerfile：

FROM ubuntu

ENV VER 3.0.0
ENV TARBALL download.redis.io/releases/re…

==> Install curl and helper tools...

RUN apt-get update
RUN apt-get install -y curl make gcc

==> Download, compile, and install...

RUN curl -L VER
RUN make
RUN make install
#...

==> Clean up...

WORKDIR /
RUN apt-get remove -y --auto-remove curl make gcc
RUN apt-get clean
RUN rm -rf /var/lib/apt/lists/* /redis-$VER
#... CMD ["redis-server"]

構建鏡像，名稱叫 test/test:0.1。

咱們對Dockerfile作優化，優化後Dockerfile：

FROM ubuntu

ENV VER 3.0.0
ENV TARBALL download.redis.io/releases/re…

RUN echo "==> Install curl and helper tools..." && \
apt-get update &&
apt-get install -y curl make gcc &&
echo "==> Download, compile, and install..." &&
curl -L VER &&
make &&
make install &&
echo "==> Clean up..." &&
apt-get remove -y --auto-remove curl make gcc &&
apt-get clean &&
rm -rf /var/lib/apt/lists/* /redis-$VER #... CMD ["redis-server"]

構建鏡像，名稱叫 test/test:0.2。

對比兩個鏡像大小：

root@k8s-master:/tmp/iops# docker images REPOSITORY TAG IMAGE ID CREATED SIZE test/test 0.2 58468c0222ed 2 minutes ago 98.1MB test/test 0.1 e496cf7243f2 6 minutes ago 307MB root@k8s-master:/tmp/iops#

能夠看到，將多條RUN命令串聯起來構建的鏡像大小是每條命令分別RUN的三分之一。

提示：爲了應對鏡像中存在太多鏡像層，Docker 1.13版本之後，提供了一個壓扁鏡像功能，即將 Dockerfile 中全部的操做壓縮爲一層。這個特性還處於實驗階段，Docker默認沒有開啓，若是要開啓，須要在啓動Docker時添加-experimental 選項，並在Docker build 構建鏡像時候添加 --squash 。咱們不推薦使用這個辦法，請在撰寫 Dockerfile 時遵循最佳實踐編寫，不要試圖用這種辦法去壓縮鏡像。

0 3 使用多階段構建 Dockerfile中每條指令都會爲鏡像增長一個鏡像層，而且你須要在移動到下一個鏡像層以前清理不須要的組件。實際上，有一個Dockerfile用於開發（其中包含構建應用程序所需的全部內容）以及一個用於生產的瘦客戶端，它只包含你的應用程序以及運行它所需的內容。這被稱爲「建造者模式」。Docker 17.05.0-ce版本之後支持多階段構建。使用多階段構建，你能夠在Dockerfile中使用多個FROM語句，每條FROM指令可使用不一樣的基礎鏡像，這樣您能夠選擇性地將服務組件從一個階段COPY到另外一個階段，在最終鏡像中只保留須要的內容。 下面是一個使用COPY --from 和 FROM ... AS ... 的Dockerfile：

Compile

FROM golang:1.9.0 AS builder WORKDIR /go/src/v9.git...com/.../k8s-monitor COPY . . WORKDIR /go/src/v9.git...com/.../k8s-monitor RUN make build RUN mv k8s-monitor /root

Package

Use scratch image

FROM scratch WORKDIR /root/ COPY --from=builder /root . EXPOSE 8080 CMD ["/root/k8s-monitor"]

構建鏡像，你會發現生成的鏡像只有上面COPY 指令指定的內容，鏡像大小隻有2M。這樣在之前使用兩個Dockerfile（一個Dockerfile用於開發和一個用於生產的瘦客戶端），如今使用多階段構建就能夠搞定。

0 4 構建業務服務鏡像技巧 Docker在build鏡像的時候，若是某個命令相關的內容沒有變化，會使用上一次緩存（cache）的文件層，在構建業務鏡像的時候能夠注意下面兩點：

一、不變或者變化不多的體積較大的依賴庫和常常修改的自有代碼分開；

二、由於cache緩存在運行Docker build命令的本地機器上，建議固定使用某臺機器來進行Docker build，以便利用cache。

下面是構建Spring Boot應用鏡像的例子，用來講明如何分層。其餘類型的應用，好比Java WAR包，Nodejs的npm 模塊等，能夠採起相似的方式。

一、在Dockerfile所在目錄，解壓縮maven生成的jar包

$ unzip .jar -d app

二、Dockerfile 咱們把應用的內容分紅4個部分COPY到鏡像裏面：其中前面3個基本不變，第4個是常常變化的自有代碼。最後一行是解壓縮後，啓動spring boot應用的方式。

FROM openjdk:8-jre-alpine

LABEL maintainer "opl-xws@xiaomi.com" COPY app/BOOT-INF/lib/ /app/BOOT-INF/lib/ COPY app/org /app/org COPY app/META-INF /app/META-INF COPY app/BOOT-INF/classes /app/BOOT-INF/classes EXPOSE 8080 CMD ["/usr/bin/java", "-cp", "/app", "org.springframework.boot.loader.JarLauncher"]

這樣在構建鏡像時候可大大提升構建速度。

0 5 其餘優化辦法 固然，除了以上4類辦法外，還有其餘優化辦法能夠精簡鏡像；

1. RUN命令中執行apt、apk或者yum類工具技巧 若是在RUN命令中執行apt、apk或者yum類工具，能夠藉助這些工具提供的一些小技巧來減小鏡像層數量及鏡像大小。舉幾個例子：

（1）在執行apt-get install -y 時增長選項— no-install-recommends ，能夠不用安裝建議性（非必須）的依賴，也能夠在執行apk add 時添加選項--no-cache 達到一樣效果；

（2）執行yum install -y 時候， 能夠同時安裝多個工具，好比yum install -y gcc gcc-c++ make ...。將全部yum install 任務放在一條RUN命令上執行，從而減小鏡像層的數量；

（3）組件的安裝和清理要串聯在一條指令裏面，如 apk --update add php7 && rm -rf /var/cache/apk/* ，由於Dockerfile的每條指令都會產生一個文件層，若是將apk add ...和 rm -rf ... 命令分開，清理沒法減少apk命令產生的文件層的大小。Ubuntu或Debian可使用 rm -rf /var/lib/apt/lists/* 清理鏡像中緩存文件；CentOS等系統使用yum clean all 命令清理。 2. 壓縮鏡像 Docker 自帶的一些命令還能協助壓縮鏡像，好比 export 和 import

docker export 747dc0e72d13 | docker import - test/test:0.3

使用這種方式須要先將容器運行起來，並且這個過程當中會丟失鏡像原有的一些信息，好比：導出端口，環境變量，默認指令。

查看這兩個鏡像history信息，以下，能夠看到test/test:0.3 丟失了全部的鏡像層信息：

root@k8s-master:/tmp/iops# docker history test/test:0.3 IMAGE CREATED CREATED BY SIZE COMMENT 6fb3f00b7a72 15 seconds ago 84.7MB Imported from - root@k8s-master:/tmp/iops# docker history test/test:0.2 IMAGE CREATED CREATED BY SIZE COMMENT 58468c0222ed 2 hours ago /bin/sh -c #(nop) CMD ["redis-server"] 0B
1af7ffe3d163 2 hours ago /bin/sh -c echo "==> Install curl and helper… 15.7MB
8bac6e733d54 2 hours ago /bin/sh -c #(nop) ENV TARBALL=http://downlo… 0B
793282f3ef7a 2 hours ago /bin/sh -c #(nop) ENV VER=3.0.0 0B
74f8760a2a8b 8 days ago /bin/sh -c #(nop) CMD ["/bin/bash"] 0B
8 days ago /bin/sh -c mkdir -p /run/systemd && echo 'do… 7B 8 days ago /bin/sh -c sed -i 's/^#\s*(deb.universe)$… 2.76kB 8 days ago /bin/sh -c rm -rf /var/lib/apt/lists/ 0B 8 days ago /bin/sh -c set -xe && echo '#!/bin/sh' > /… 745B
8 days ago /bin/sh -c #(nop) ADD file:5fabb77ea8d61e02d… 82.4MB
root@k8s-master:/tmp/iops#

社區裏還有不少壓縮工具，好比Docker-squash ，用起來更簡單方便，而且不會丟失原有鏡像的自帶信息，你們有興趣能夠試試。

總結

Docker鏡像的精簡手段和精簡效果值得深刻探討和實踐，但願本文能爲你們帶來幫助。若是你有更好的方法和經驗，歡迎交流~