最小或无发行版镜像

最小镜像，有时称为无发行版镜像，是剥离了不必要组件（如包管理器、shell 甚至底层操作系统发行版）的容器镜像。Docker 强化镜像 (DHI) 采用这种最小化方法来减少漏洞并强制实施安全的软件交付。Docker 官方镜像和Docker 验证发布者镜像遵循类似的最小化和安全最佳实践，但可能不会像无发行版镜像那样精简，以确保与更广泛的使用场景兼容。

什么是最小或无发行版镜像？

传统的容器镜像包含一个完整的操作系统，通常超出了运行应用程序所需的范围。相比之下，最小或无发行版镜像仅包含

应用程序二进制文件
其运行时依赖项（例如 libc、Java、Python）
任何明确要求的配置或元数据

它们通常排除

操作系统工具（例如 ls、ps、cat）
Shell（例如 sh、bash）
包管理器（例如 apt、apk）
调试工具（例如 curl、wget、strace）

Docker 强化镜像基于此模型，确保更小、更安全的运行时表面。

您将获得的好处

益处	描述
更小的攻击面	更少的组件意味着更少的漏洞和更少的 CVE 暴露
更快的启动速度	更小的镜像大小可缩短拉取和启动时间
提高安全性	缺少 shell 和包管理器限制了攻击者在受到威胁时可以执行的操作
更好的合规性	更易于审计和验证，尤其是通过 SBOM 和证明

解决常见的权衡

最小和无发行版镜像提供了强大的安全优势，但它们可以改变您使用容器的方式。Docker 强化镜像旨在在增强安全性的同时保持生产力。

顾虑	Docker 强化镜像如何提供帮助
可调试性	强化镜像默认排除 shell 和 CLI 工具。使用Docker Debug暂时附加调试边车以进行故障排除，而无需修改原始容器。
熟悉度	DHI 支持多个基础镜像，包括 Alpine 和 Debian 变体，因此您可以选择熟悉的环境，同时仍受益于强化实践。
灵活性	运行时不变性有助于保护您的容器。使用多阶段构建和 CI/CD 来控制更改，并可选择在开发过程中使用面向开发的基础镜像。

通过平衡最小化与实用工具，Docker 强化镜像支持现代开发工作流，而不会影响安全性或可靠性。

使用最小镜像的最佳实践

使用多阶段构建来分离构建时和运行时环境
使用 CI 管道验证镜像行为，而不是交互式检查
在 Dockerfile 中明确包含运行时特定依赖项
使用 Docker Scout 持续监控 CVE，即使在最小镜像中也是如此

通过 Docker 强化镜像采用最小或无发行版镜像，您将获得一个更安全、更可预测、更适合生产的容器环境，该环境专为自动化、清晰度和降低风险而设计。