Distroless image

Kubernetes

Distroless image

라온클 2024. 2. 17. 06:19

<개념 한줄 요약>

Distroless 이미지는 Kubernetes 워크로드를 위해 애플리케이션과 런타임 의존성만을 포함하는 최소화된 컨테이너 이미지입니다.

도커 이미지계 미니멀리즘

~~도둑: 들어와도 뭘 할 수 있는게 없네..~~

<특징>

Shell이 없으므로 ENTRYPOINT 명령어로

있는 것	없는 것
애플리케이션에 필요한 최소한의 Binary code	(표준 Linux 배포판에 있지만 애플리케이션에는 불필요한) 패키지 관리자
직접적인 종속성(라이브러리, 모듈)	Shell, 기타 프로그램
(필요한 경우)최소한의 런타임

<Kubernetes의 워크로드 속에서 가지는 의미>

불필요한 구성 요소를 최소화하여 공격자의 악용 가능성을 크게 줄인다.

“런타임 컨테이너의 내용을 앱에 꼭 필요한 내용으로 제한하는 것은 수년 동안 프로덕션에서 컨테이너를 사용해 온 Google 및 기타 기술 대기업이 채택한 모범 사례입니다. 이는 스캐너(예: CVE)의 신호 대 잡음비를 개선하고 필요한 항목에 대한 출처를 설정해야 하는 부담을 줄여줍니다.”

-https://github.com/GoogleContainerTools/distroless?tab=readme-ov-file