云原生【免費(fèi)下載鏈接】buildahA tool that facilitates building OCI images.項(xiàng)目地址https://gitcode.com/gh_mirrors/bu/buildah點(diǎn)擊查看免費(fèi)下載本文基于 Buildah 官方入門教程docs/tutorials/01-intro.md整理并深入擴(kuò)展帶你完整走一遍 Buildah 構(gòu)建 OCI 容器鏡像的核心工作流安裝與驗(yàn)證、基于現(xiàn)有鏡像創(chuàng)建 working container、從scratch空鏡像逐層填充內(nèi)容、提交與配置元數(shù)據(jù)以及使用 Dockerfile/Containerfile 構(gòu)建鏡像。讀完之后你將掌握 Buildah CLI 的典型操作序列并理解每個(gè)命令背后對(duì)應(yīng)的源碼實(shí)現(xiàn)與底層庫(kù)containers/image、containers/storage的協(xié)作關(guān)系。一、Buildah 與 OCI 鏡像規(guī)范Buildah 的目標(biāo)是構(gòu)建符合 OCI 鏡像規(guī)范 的容器鏡像。鏡像既可以基于現(xiàn)有鏡像擴(kuò)展也可以完全從空白scratch開(kāi)始還可以直接由 Dockerfile 驅(qū)動(dòng)構(gòu)建。Buildah 的鏡像能力建立在兩個(gè)基礎(chǔ)庫(kù)之上containers/image提供鏡像的復(fù)制push、pull、檢視inspect與簽名sign機(jī)制containers/storage提供文件系統(tǒng)層layers、容器鏡像以及容器本身的存儲(chǔ)機(jī)制。Buildah 本身是一個(gè) CLI它利用上述兩個(gè)庫(kù)來(lái)構(gòu)建、移動(dòng)和管理容器鏡像與工作容器。由于產(chǎn)物嚴(yán)格遵循 OCI 標(biāo)準(zhǔn)用 Buildah 構(gòu)建的鏡像可以在 Docker 等其他容器環(huán)境中運(yùn)行。需要明確的適用邊界Buildah 支持多種 Linux 發(fā)行版但不支持 Windows 或 macOSBuildah 專注于構(gòu)建OCI 鏡像而 Podman 提供覆蓋面更廣的命令集維護(hù)、修改、運(yùn)行鏡像與容器。二者同屬 containers 生態(tài)定位互補(bǔ)。二、安裝 Buildah官方入門教程以使用dnf包管理器的 Linux 發(fā)行版為前提安裝步驟如下安裝包需要 root 權(quán)限$ sudo -s # dnf -y install buildah倉(cāng)庫(kù)中的 install.md 給出了更多發(fā)行版的安裝方式包括Debian/Ubuntusudo apt-get -y install buildahFedorasudo dnf -y install buildahCentOSsudo yum -y install buildahopenSUSEsudo zypper install buildahArch Linuxsudo pacman -S buildahGentoosudo emerge app-containers/buildah。除了發(fā)行版差異還有兩個(gè)關(guān)鍵前提值得注意內(nèi)核要求RHEL/CentOS 上要求 7.4 及以上內(nèi)核其他發(fā)行版需要支持 OverlayFS 或 fuse-overlayfs 的內(nèi)核runc 依賴buildah run執(zhí)行命令、或buildah build遇到RUN指令時(shí)Buildah 依賴runc來(lái)真正運(yùn)行進(jìn)程。通過(guò) yum/dnf/apt 安裝 Buildah 時(shí)通常會(huì)順帶裝好 runc。Rootless免 root運(yùn)行如果計(jì)劃以非 root 用戶rootless user運(yùn)行 Buildah系統(tǒng)管理員可能需要預(yù)先做額外配置。Buildah 對(duì) rootless 用戶的配置要求與 Podman 完全一致可參考 Podman 官方的 rootless tutorial。倉(cāng)庫(kù)中的 buildah-unshare.1.md 則說(shuō)明了后文會(huì)用到的buildah unshare命令它用于創(chuàng)建并進(jìn)入 user namespace 與 mount namespace。三、安裝后驗(yàn)證images、containers 與 working container安裝完成后先確認(rèn)本地存儲(chǔ)是空的。buildah images列出所有鏡像buildah containers列出所有 working container# buildah images # buildah containers此時(shí)兩條命令都應(yīng)該沒(méi)有輸出。接下來(lái)創(chuàng)建第一個(gè) working container# container$(buildah from fedora)這里有兩點(diǎn)值得深入理解。第一buildah from的輸出可以直接賦給 shell 變量。從源碼看cmd/buildah/from.go 中fromCmd在成功構(gòu)建Builder之后執(zhí)行fmt.Printf(%s\n, builder.Container)把容器名打印到標(biāo)準(zhǔn)輸出——這正是教程中container$(buildah from fedora)能夠捕獲名稱的機(jī)制。第二working container 的命名規(guī)則。Buildah 默認(rèn)會(huì)在基礎(chǔ)鏡像名后追加-working-container后綴來(lái)生成容器名例如fedora-working-container。命名邏輯位于 new.goname : working-container if options.ContainerSuffix ! { name options.ContainerSuffix } if options.Container ! { name options.Container } else { if imageSpec ! { name imageNamePrefix(imageSpec) - name } }其中imageNamePrefixnew.go會(huì)去掉鏡像名中的 tag、digest截?cái)嗟?12 位、與/部分只保留最后一段鏡像名從而得到fedora這樣的前綴。如果同名容器已存在findUnusedContainer會(huì)進(jìn)一步追加編號(hào)避免沖突。查看變量?jī)?nèi)容并進(jìn)入容器執(zhí)行命令# echo $container fedora-working-container # buildah run $container bash執(zhí)行后會(huì)看到一個(gè)新的 shell 提示符說(shuō)明 bash 正在容器內(nèi)運(yùn)行。注意buildah run的定位主要用于調(diào)試和構(gòu)建過(guò)程中的命令執(zhí)行。如果要在生產(chǎn)環(huán)境長(zhǎng)期運(yùn)行容器更適合使用 Podman 或 CRI-O 這類完整的容器運(yùn)行時(shí)。buildah run中的--分隔符退出容器后教程演示了容器內(nèi)缺軟件再裝軟件的場(chǎng)景# buildah run $container java容器里沒(méi)裝 Java會(huì)看到類似這樣的報(bào)錯(cuò)runc create failed: unable to start start container process: exec: java: executable file not found in $PATH于是需要在容器里安裝 Java# buildah run $container -- dnf -y install java這里的--語(yǔ)法告訴 Buildah其后不再解析buildah run自身的選項(xiàng)--之后的所有內(nèi)容都作為容器內(nèi)命令的參數(shù)。當(dāng)你要執(zhí)行的容器內(nèi)命令自身攜帶選項(xiàng)如dnf -y install時(shí)使用--是必要的可以防止選項(xiàng)被 Buildah 誤吞。之后再次運(yùn)行buildah run $container java將輸出 Java 的標(biāo)準(zhǔn)Usage信息說(shuō)明安裝成功。四、從 scratch 構(gòu)建真正從零的鏡像Buildah 的一個(gè)重要能力是從空白構(gòu)建鏡像可以精確控制鏡像內(nèi)容剔除生產(chǎn)環(huán)境不需要的組件比如大多數(shù)生產(chǎn)鏡像并不需要dnf這樣的包管理器。4.1 創(chuàng)建空容器特殊的鏡像名scratch告訴 Buildah 創(chuàng)建一個(gè)空容器——它只帶有少量元數(shù)據(jù)沒(méi)有任何實(shí)際的 Linux 內(nèi)容# newcontainer$(buildah from scratch) # buildah containers輸出類似CONTAINER ID BUILDER IMAGE ID IMAGE NAME CONTAINER NAME 82af3b9a9488 * 3d85fcda5754 docker.io/library/fedora:latest fedora-working-container ac8fa6be0f0a * scratch working-container注意兩點(diǎn)空容器的默認(rèn)名字就是working-container對(duì)應(yīng) new.go 中的默認(rèn)值沒(méi)有鏡像名可作前綴運(yùn)行buildah images時(shí)看不到名為scratch的鏡像——scratch只是一個(gè)特殊值表示該 working container 并非基于任何鏡像從 nothing 開(kāi)始。此時(shí)在容器里執(zhí)行buildah run $newcontainer bash會(huì)失敗——容器里連 bash、dnf 都沒(méi)有它本質(zhì)上只是內(nèi)核之上的一層空文件系統(tǒng)。4.2 用 buildah mount 暴露容器根文件系統(tǒng)要把內(nèi)容塞進(jìn)這個(gè)空容器需要buildah mount命令# scratchmnt$(buildah mount $newcontainer) # echo $scratchmnt /var/lib/containers/storage/overlay/b78d0e11957d15b5d1fe776293bd40a36c28825fb6cf76f407b4d0a95b2a200d/merged輸出的路徑是一個(gè)overlay 掛載點(diǎn)它就是容器使用的根文件系統(tǒng)。以 root 運(yùn)行時(shí)overlay 掛載點(diǎn)位于/var/lib/containers/storage之下rootless 模式下則位于家目錄的.local/share/containers/storage之下——這正體現(xiàn)了底層 containers/storage 庫(kù)的存儲(chǔ)布局。從源碼看buildah mount最終調(diào)用 mount.go 中的Builder.Mountfunc (b *Builder) Mount(label string) (string, error) { mountpoint, err : b.store.Mount(b.ContainerID, label) if err ! nil { return , fmt.Errorf(mounting build container %q: %w, b.ContainerID, err) } b.MountPoint mountpoint err b.Save() if err ! nil { return , fmt.Errorf(saving updated state for build container %q: %w, b.ContainerID, err) } return mountpoint, nil }可以看到它委托給存儲(chǔ)驅(qū)動(dòng)b.store.Mount完成實(shí)際的 overlay 掛載并把掛載點(diǎn)持久化到 Builder 狀態(tài)b.Save()供后續(xù)buildah unmount時(shí)清理。rootless 注意事項(xiàng)rootless 模式下直接執(zhí)行buildah mount會(huì)失敗因?yàn)閽燧d容器必須在你自己擁有的 mount namespace 中進(jìn)行。正確的做法是先用buildah unshare創(chuàng)建并進(jìn)入 user namespace 與 mount namespace再執(zhí)行 mount并且由于 shell 環(huán)境變了需要把變量導(dǎo)出$ export newcontainer $ buildah unshare # scratchmnt$(buildah mount $newcontainer)4.3 用 dnf installroot 向容器填充軟件拿到掛載點(diǎn)之后就可以在宿主機(jī)上直接裝包進(jìn)容器。教程以安裝bash與coreutils為例換成nginx等任何需要的包也一樣# dnf install --installroot $scratchmnt --releasever 42 bash coreutils --use-host-config --setopt *.countmefalse --setopt installweak_depsfalse -y關(guān)鍵參數(shù)是--installroot $scratchmnt讓 dnf 把包裝進(jìn)掛載目錄而不是宿主機(jī)。教程特別提示示例中的--releasever 42對(duì)應(yīng) Fedora 42這個(gè)版本值必須對(duì)宿主機(jī)上的 dnf 有效——例如在 RHEL 平臺(tái)上應(yīng)寫--releasever 8.1之類的有效版本。若希望容器最終基于某個(gè)特定發(fā)行版可把buildah from scratch換成buildah from fedora并使用該平臺(tái)的版本值。驗(yàn)證一下容器內(nèi)確實(shí)有了/usr/bin# buildah run $newcontainer sh sh-5.1# cd /usr/bin sh-5.1# ls sh-5.1# exit4.4 copy、config、commit完成第一張鏡像在宿主機(jī)上創(chuàng)建一個(gè)可執(zhí)行腳本runecho.sh#!/usr/bin/env bash for i in seq 0 9; do echo This is a new container from ipbabble [ $i ] done# chmod x runecho.sh然后三步完成鏡像# buildah copy $newcontainer ./runecho.sh /usr/bin/ # buildah config --cmd /usr/bin/runecho.sh $newcontainer # buildah commit $newcontainer newimage這一步值得理解buildah run與podman run的本質(zhì)區(qū)別教程給出的類比非常準(zhǔn)確buildah run等價(jià)于 Dockerfile 中的RUN它永遠(yuǎn)需要你顯式告訴它要運(yùn)行什么命令podman run等價(jià)于docker run它可以讀取鏡像配置即上一步buildah config --cmd寫入的默認(rèn)命令來(lái)決定運(yùn)行什么。先用 Buildah 直接指定命令驗(yàn)證腳本可執(zhí)行# buildah run $newcontainer /usr/bin/runecho.sh This is a new container from ipbabble [ 0 ] This is a new container from ipbabble [ 1 ] ... This is a new container from ipbabble [ 9 ]再用 Podman 基于新鏡像起一個(gè)全新容器不指定命令它會(huì)自動(dòng)執(zhí)行鏡像配置里的--cmd# dnf -y install podman # 先安裝 # podman run --rm newimage This is a new container from ipbabble [ 0 ] ... This is a new container from ipbabble [ 9 ]輸出一致說(shuō)明這個(gè)從 scratch 構(gòu)建的鏡像完全可用。4.5 元數(shù)據(jù)、二次 commit 與清理繼續(xù)為工作容器補(bǔ)充元數(shù)據(jù)# buildah config --created-by ipbabble $newcontainer # buildah config --author wgh at redhat.com ipbabble --label namefedora42-bashecho $newcontainer # buildah inspect $newcontainer注意一個(gè)容易踩的坑元數(shù)據(jù)修改發(fā)生在上一次 commit 之后所以必須再次 commit 才能得到包含新元數(shù)據(jù)的鏡像# buildah unmount $newcontainer # buildah commit $newcontainer fedora-bashecho # buildah images此時(shí)會(huì)看到新鏡像localhost/fedora-bashecho:latest。檢查鏡像元數(shù)據(jù)用--typeimage# buildah inspect --typeimage fedora-bashecho之后每次需要基于該鏡像起容器直接buildah from fedora-bashecho即可。工作容器已完成使命可以刪除按變量或按名字等價(jià)# buildah rm $newcontainer # buildah rm working-container五、可移植性把鏡像推給 Docker daemon教程用一個(gè)實(shí)驗(yàn)證明 Buildah 產(chǎn)出的 OCI 鏡像是標(biāo)準(zhǔn)、可移植的安裝并啟動(dòng) Docker然后把鏡像從 containers/storage 的存儲(chǔ)區(qū)復(fù)制到 Docker daemon 的存儲(chǔ)區(qū)/var/lib/docker# dnf -y install docker # systemctl start docker # buildah push fedora-bashecho docker-daemon:fedora-bashecho:latest # docker run --rm fedora-bashecho This is a new container from ipbabble [ 0 ] ... This is a new container from ipbabble [ 9 ]幾個(gè)要點(diǎn)docker-daemon:是顯式的 transport 前綴。docker://默認(rèn)指向 Registry HTTP API V2、docker-daemon:指向本地 Docker daemon 的內(nèi)部存儲(chǔ)、dir:、oci:、oci-archive:、docker-archive:等 transport 的完整定義見(jiàn) buildah-from.1.md 與 buildah-push.1.md底層機(jī)制containers/image 庫(kù)調(diào)用 containers/storage 庫(kù)從 Buildah 的存儲(chǔ)位置讀出鏡像內(nèi)容發(fā)送給本地 Docker daemon 寫入其存儲(chǔ)。教程提醒這一步通常用不到——用 Buildah 的人多半不用 Docker這里僅作可移植性演示架構(gòu)差異Docker 必須依賴一個(gè)常駐 daemon 進(jìn)程才能執(zhí)行任何客戶端命令Buildah 與 Podman 則沒(méi)有 daemon 依賴命令直接操作存儲(chǔ)與命名空間。演示完成后可以dnf -y remove docker收尾。六、使用 Containerfile/Dockerfile 構(gòu)建鏡像如果你已有現(xiàn)成的 Dockerfile 資產(chǎn)Buildah 可以無(wú)縫復(fù)用build命令接受 Dockerfile 作為輸入產(chǎn)出 OCI 鏡像。教程給出的示例 Dockerfile 如下# Base on the most recently released Fedora FROM fedora:latest MAINTAINER ipbabble email buildahboyredhat.com # not a real email # Install updates and httpd RUN echo Updating all fedora packages; dnf -y update; dnf -y clean all RUN echo Installing httpd; dnf -y install httpd dnf -y clean all # Expose the default httpd port 80 EXPOSE 80 # Run the httpd CMD [/usr/sbin/httpd, -DFOREGROUND]執(zhí)行構(gòu)建# buildah build -f Dockerfile -t fedora-httpd .由于buildah build默認(rèn)使用當(dāng)前目錄下的Dockerfile并以當(dāng)前目錄作為構(gòu)建上下文上式可以簡(jiǎn)寫為# buildah build -t fedora-httpd構(gòu)建過(guò)程中你會(huì)看到 Dockerfile 的每一步依次執(zhí)行FROM會(huì)先創(chuàng)建一個(gè)以鏡像名-working-container命名的工作容器RUN指令經(jīng)由 runc 在容器內(nèi)執(zhí)行——這與前面buildah run的機(jī)制同源完成后buildah images中出現(xiàn)新鏡像。用 Podman 起容器驗(yàn)證服務(wù)并做端口映射# podman run --rm -p 8123:80 fedora-httpd另開(kāi)一個(gè) shell# curl localhost:8123看到標(biāo)準(zhǔn)的 Apache 歡迎頁(yè)即驗(yàn)證成功。教程最后的開(kāi)放練習(xí)修改 Dockerfile不安裝 httpd改用ADD指令引入前面的runecho.sh并把它設(shè)為CMD再走一遍構(gòu)建流程。倉(cāng)庫(kù)的 tests/ 目錄中有大量圍繞 Dockerfile 行為的集成測(cè)試如 tests/bud.bats 及各tests/bud/子目錄的測(cè)試用例可以結(jié)合源碼進(jìn)一步理解buildah build對(duì)COPY、ADD、多階段構(gòu)建、ARG/ENV等指令的具體處理邏輯。七、小結(jié)一條完整的 Buildah 心智模型把上面的操作串起來(lái)Buildah 的核心工作模型是四步buildah from image|scratch創(chuàng)建 working container源碼入口 cmd/buildah/from.go命名規(guī)則見(jiàn) new.go填充內(nèi)容buildah run在容器內(nèi)執(zhí)行命令、buildah copy拷入文件、buildah mount 宿主工具直接操作根文件系統(tǒng)實(shí)現(xiàn)見(jiàn) mount.gobuildah config寫入元數(shù)據(jù)cmd、label、author 等buildah commit把工作容器的變更固化為 OCI 鏡像之后可通過(guò)buildah push發(fā)送到 registry、Docker daemon 等任意 transport。所有產(chǎn)物嚴(yán)格遵循 OCI 規(guī)范因此天然可移植。若想繼續(xù)深入建議按序閱讀 docs/tutorials/ 下的后續(xù)教程鏡像倉(cāng)庫(kù)交互、ONBUILD 機(jī)制、把 Buildah 作為庫(kù)集成進(jìn)自有構(gòu)建工具、rootless OpenShift 構(gòu)建以及各命令的 man pagedocs/buildah-run.1.md、docs/buildah-commit.1.md、docs/buildah-mount.1.md、docs/buildah-config.1.md、docs/buildah-push.1.md 等它們覆蓋了本教程未展開(kāi)的全部命令行參數(shù)。贊分享云原生【免費(fèi)下載鏈接】buildahA tool that facilitates building OCI images.項(xiàng)目地址https://gitcode.com/gh_mirrors/bu/buildah點(diǎn)擊查看免費(fèi)下載相關(guān)推薦container構(gòu)建系統(tǒng)詳解從Dockerfile到OCI鏡像的完整流程container構(gòu)建系統(tǒng)詳解從Dockerfile到OCI鏡像的完整流程 container構(gòu)建系統(tǒng)是專門為Mac平臺(tái)優(yōu)化的Linux容器構(gòu)建工具采用SwCLI虛擬化容器運(yùn)行時(shí)云原生Buildah: OCI鏡像構(gòu)建工具Buildah: OCI鏡像構(gòu)建工具 1. 項(xiàng)目介紹 Buildah是一個(gè)開(kāi)源命令行工具用于構(gòu)建Open Container Initiative OCI 容云原生終極指南Docker構(gòu)建工具鏈如何從Dockerfile到OCI鏡像的完整流程終極指南Docker構(gòu)建工具鏈如何從Dockerfile到OCI鏡像的完整流程 Docker構(gòu)建工具鏈?zhǔn)乾F(xiàn)代容器化開(kāi)發(fā)的核心它通過(guò)Dockerfile指令逐云原生容器運(yùn)行時(shí)虛擬化容器編排上一篇Apache Pulsar 授權(quán)機(jī)制詳解Authorization 配置、Superusers 與 Proxy Roles 實(shí)戰(zhàn)指南下一篇Lynx 模板二進(jìn)制編碼中的 Style Object 解析與編碼實(shí)戰(zhàn)指南創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考