云原生【免費下載鏈接】buildahA tool that facilitates building OCI images.項目地址https://gitcode.com/gh_mirrors/bu/buildah點擊查看免費下載本文基于 Buildah 官方入門教程docs/tutorials/01-intro.md整理并深入擴展帶你完整走一遍 Buildah 構建 OCI 容器鏡像的核心工作流安裝與驗證、基于現(xiàn)有鏡像創(chuàng)建 working container、從scratch空鏡像逐層填充內(nèi)容、提交與配置元數(shù)據(jù)以及使用 Dockerfile/Containerfile 構建鏡像。讀完之后你將掌握 Buildah CLI 的典型操作序列并理解每個命令背后對應的源碼實現(xiàn)與底層庫containers/image、containers/storage的協(xié)作關系。一、Buildah 與 OCI 鏡像規(guī)范Buildah 的目標是構建符合 OCI 鏡像規(guī)范 的容器鏡像。鏡像既可以基于現(xiàn)有鏡像擴展也可以完全從空白scratch開始還可以直接由 Dockerfile 驅動構建。Buildah 的鏡像能力建立在兩個基礎庫之上containers/image提供鏡像的復制push、pull、檢視inspect與簽名sign機制containers/storage提供文件系統(tǒng)層layers、容器鏡像以及容器本身的存儲機制。Buildah 本身是一個 CLI它利用上述兩個庫來構建、移動和管理容器鏡像與工作容器。由于產(chǎn)物嚴格遵循 OCI 標準用 Buildah 構建的鏡像可以在 Docker 等其他容器環(huán)境中運行。需要明確的適用邊界Buildah 支持多種 Linux 發(fā)行版但不支持 Windows 或 macOSBuildah 專注于構建OCI 鏡像而 Podman 提供覆蓋面更廣的命令集維護、修改、運行鏡像與容器。二者同屬 containers 生態(tài)定位互補。二、安裝 Buildah官方入門教程以使用dnf包管理器的 Linux 發(fā)行版為前提安裝步驟如下安裝包需要 root 權限$ sudo -s # dnf -y install buildah倉庫中的 install.md 給出了更多發(fā)行版的安裝方式包括Debian/Ubuntusudo apt-get -y install buildahFedorasudo dnf -y install buildahCentOSsudo yum -y install buildahopenSUSEsudo zypper install buildahArch Linuxsudo pacman -S buildahGentoosudo emerge app-containers/buildah。除了發(fā)行版差異還有兩個關鍵前提值得注意內(nèi)核要求RHEL/CentOS 上要求 7.4 及以上內(nèi)核其他發(fā)行版需要支持 OverlayFS 或 fuse-overlayfs 的內(nèi)核runc 依賴buildah run執(zhí)行命令、或buildah build遇到RUN指令時Buildah 依賴runc來真正運行進程。通過 yum/dnf/apt 安裝 Buildah 時通常會順帶裝好 runc。Rootless免 root運行如果計劃以非 root 用戶rootless user運行 Buildah系統(tǒng)管理員可能需要預先做額外配置。Buildah 對 rootless 用戶的配置要求與 Podman 完全一致可參考 Podman 官方的 rootless tutorial。倉庫中的 buildah-unshare.1.md 則說明了后文會用到的buildah unshare命令它用于創(chuàng)建并進入 user namespace 與 mount namespace。三、安裝后驗證images、containers 與 working container安裝完成后先確認本地存儲是空的。buildah images列出所有鏡像buildah containers列出所有 working container# buildah images # buildah containers此時兩條命令都應該沒有輸出。接下來創(chuàng)建第一個 working container# container$(buildah from fedora)這里有兩點值得深入理解。第一buildah from的輸出可以直接賦給 shell 變量。從源碼看cmd/buildah/from.go 中fromCmd在成功構建Builder之后執(zhí)行fmt.Printf(%s\n, builder.Container)把容器名打印到標準輸出——這正是教程中container$(buildah from fedora)能夠捕獲名稱的機制。第二working container 的命名規(guī)則。Buildah 默認會在基礎鏡像名后追加-working-container后綴來生成容器名例如fedora-working-container。命名邏輯位于 new.goname : working-container if options.ContainerSuffix ! { name options.ContainerSuffix } if options.Container ! { name options.Container } else { if imageSpec ! { name imageNamePrefix(imageSpec) - name } }其中imageNamePrefixnew.go會去掉鏡像名中的 tag、digest截斷到 12 位、與/部分只保留最后一段鏡像名從而得到fedora這樣的前綴。如果同名容器已存在findUnusedContainer會進一步追加編號避免沖突。查看變量內(nèi)容并進入容器執(zhí)行命令# echo $container fedora-working-container # buildah run $container bash執(zhí)行后會看到一個新的 shell 提示符說明 bash 正在容器內(nèi)運行。注意buildah run的定位主要用于調(diào)試和構建過程中的命令執(zhí)行。如果要在生產(chǎn)環(huán)境長期運行容器更適合使用 Podman 或 CRI-O 這類完整的容器運行時。buildah run中的--分隔符退出容器后教程演示了容器內(nèi)缺軟件再裝軟件的場景# buildah run $container java容器里沒裝 Java會看到類似這樣的報錯runc create failed: unable to start start container process: exec: java: executable file not found in $PATH于是需要在容器里安裝 Java# buildah run $container -- dnf -y install java這里的--語法告訴 Buildah其后不再解析buildah run自身的選項--之后的所有內(nèi)容都作為容器內(nèi)命令的參數(shù)。當你要執(zhí)行的容器內(nèi)命令自身攜帶選項如dnf -y install時使用--是必要的可以防止選項被 Buildah 誤吞。之后再次運行buildah run $container java將輸出 Java 的標準Usage信息說明安裝成功。四、從 scratch 構建真正從零的鏡像Buildah 的一個重要能力是從空白構建鏡像可以精確控制鏡像內(nèi)容剔除生產(chǎn)環(huán)境不需要的組件比如大多數(shù)生產(chǎn)鏡像并不需要dnf這樣的包管理器。4.1 創(chuàng)建空容器特殊的鏡像名scratch告訴 Buildah 創(chuàng)建一個空容器——它只帶有少量元數(shù)據(jù)沒有任何實際的 Linux 內(nèi)容# newcontainer$(buildah from scratch) # buildah containers輸出類似CONTAINER ID BUILDER IMAGE ID IMAGE NAME CONTAINER NAME 82af3b9a9488 * 3d85fcda5754 docker.io/library/fedora:latest fedora-working-container ac8fa6be0f0a * scratch working-container注意兩點空容器的默認名字就是working-container對應 new.go 中的默認值沒有鏡像名可作前綴運行buildah images時看不到名為scratch的鏡像——scratch只是一個特殊值表示該 working container 并非基于任何鏡像從 nothing 開始。此時在容器里執(zhí)行buildah run $newcontainer bash會失敗——容器里連 bash、dnf 都沒有它本質上只是內(nèi)核之上的一層空文件系統(tǒng)。4.2 用 buildah mount 暴露容器根文件系統(tǒng)要把內(nèi)容塞進這個空容器需要buildah mount命令# scratchmnt$(buildah mount $newcontainer) # echo $scratchmnt /var/lib/containers/storage/overlay/b78d0e11957d15b5d1fe776293bd40a36c28825fb6cf76f407b4d0a95b2a200d/merged輸出的路徑是一個overlay 掛載點它就是容器使用的根文件系統(tǒng)。以 root 運行時overlay 掛載點位于/var/lib/containers/storage之下rootless 模式下則位于家目錄的.local/share/containers/storage之下——這正體現(xiàn)了底層 containers/storage 庫的存儲布局。從源碼看buildah mount最終調(diào)用 mount.go 中的Builder.Mountfunc (b *Builder) Mount(label string) (string, error) { mountpoint, err : b.store.Mount(b.ContainerID, label) if err ! nil { return , fmt.Errorf(mounting build container %q: %w, b.ContainerID, err) } b.MountPoint mountpoint err b.Save() if err ! nil { return , fmt.Errorf(saving updated state for build container %q: %w, b.ContainerID, err) } return mountpoint, nil }可以看到它委托給存儲驅動b.store.Mount完成實際的 overlay 掛載并把掛載點持久化到 Builder 狀態(tài)b.Save()供后續(xù)buildah unmount時清理。rootless 注意事項rootless 模式下直接執(zhí)行buildah mount會失敗因為掛載容器必須在你自己擁有的 mount namespace 中進行。正確的做法是先用buildah unshare創(chuàng)建并進入 user namespace 與 mount namespace再執(zhí)行 mount并且由于 shell 環(huán)境變了需要把變量導出$ export newcontainer $ buildah unshare # scratchmnt$(buildah mount $newcontainer)4.3 用 dnf installroot 向容器填充軟件拿到掛載點之后就可以在宿主機上直接裝包進容器。教程以安裝bash與coreutils為例換成nginx等任何需要的包也一樣# dnf install --installroot $scratchmnt --releasever 42 bash coreutils --use-host-config --setopt *.countmefalse --setopt installweak_depsfalse -y關鍵參數(shù)是--installroot $scratchmnt讓 dnf 把包裝進掛載目錄而不是宿主機。教程特別提示示例中的--releasever 42對應 Fedora 42這個版本值必須對宿主機上的 dnf 有效——例如在 RHEL 平臺上應寫--releasever 8.1之類的有效版本。若希望容器最終基于某個特定發(fā)行版可把buildah from scratch換成buildah from fedora并使用該平臺的版本值。驗證一下容器內(nèi)確實有了/usr/bin# buildah run $newcontainer sh sh-5.1# cd /usr/bin sh-5.1# ls sh-5.1# exit4.4 copy、config、commit完成第一張鏡像在宿主機上創(chuàng)建一個可執(zhí)行腳本runecho.sh#!/usr/bin/env bash for i in seq 0 9; do echo This is a new container from ipbabble [ $i ] done# chmod x runecho.sh然后三步完成鏡像# buildah copy $newcontainer ./runecho.sh /usr/bin/ # buildah config --cmd /usr/bin/runecho.sh $newcontainer # buildah commit $newcontainer newimage這一步值得理解buildah run與podman run的本質區(qū)別教程給出的類比非常準確buildah run等價于 Dockerfile 中的RUN它永遠需要你顯式告訴它要運行什么命令podman run等價于docker run它可以讀取鏡像配置即上一步buildah config --cmd寫入的默認命令來決定運行什么。先用 Buildah 直接指定命令驗證腳本可執(zhí)行# buildah run $newcontainer /usr/bin/runecho.sh This is a new container from ipbabble [ 0 ] This is a new container from ipbabble [ 1 ] ... This is a new container from ipbabble [ 9 ]再用 Podman 基于新鏡像起一個全新容器不指定命令它會自動執(zhí)行鏡像配置里的--cmd# dnf -y install podman # 先安裝 # podman run --rm newimage This is a new container from ipbabble [ 0 ] ... This is a new container from ipbabble [ 9 ]輸出一致說明這個從 scratch 構建的鏡像完全可用。4.5 元數(shù)據(jù)、二次 commit 與清理繼續(xù)為工作容器補充元數(shù)據(jù)# buildah config --created-by ipbabble $newcontainer # buildah config --author wgh at redhat.com ipbabble --label namefedora42-bashecho $newcontainer # buildah inspect $newcontainer注意一個容易踩的坑元數(shù)據(jù)修改發(fā)生在上一次 commit 之后所以必須再次 commit 才能得到包含新元數(shù)據(jù)的鏡像# buildah unmount $newcontainer # buildah commit $newcontainer fedora-bashecho # buildah images此時會看到新鏡像localhost/fedora-bashecho:latest。檢查鏡像元數(shù)據(jù)用--typeimage# buildah inspect --typeimage fedora-bashecho之后每次需要基于該鏡像起容器直接buildah from fedora-bashecho即可。工作容器已完成使命可以刪除按變量或按名字等價# buildah rm $newcontainer # buildah rm working-container五、可移植性把鏡像推給 Docker daemon教程用一個實驗證明 Buildah 產(chǎn)出的 OCI 鏡像是標準、可移植的安裝并啟動 Docker然后把鏡像從 containers/storage 的存儲區(qū)復制到 Docker daemon 的存儲區(qū)/var/lib/docker# dnf -y install docker # systemctl start docker # buildah push fedora-bashecho docker-daemon:fedora-bashecho:latest # docker run --rm fedora-bashecho This is a new container from ipbabble [ 0 ] ... This is a new container from ipbabble [ 9 ]幾個要點docker-daemon:是顯式的 transport 前綴。docker://默認指向 Registry HTTP API V2、docker-daemon:指向本地 Docker daemon 的內(nèi)部存儲、dir:、oci:、oci-archive:、docker-archive:等 transport 的完整定義見 buildah-from.1.md 與 buildah-push.1.md底層機制containers/image 庫調(diào)用 containers/storage 庫從 Buildah 的存儲位置讀出鏡像內(nèi)容發(fā)送給本地 Docker daemon 寫入其存儲。教程提醒這一步通常用不到——用 Buildah 的人多半不用 Docker這里僅作可移植性演示架構差異Docker 必須依賴一個常駐 daemon 進程才能執(zhí)行任何客戶端命令Buildah 與 Podman 則沒有 daemon 依賴命令直接操作存儲與命名空間。演示完成后可以dnf -y remove docker收尾。六、使用 Containerfile/Dockerfile 構建鏡像如果你已有現(xiàn)成的 Dockerfile 資產(chǎn)Buildah 可以無縫復用build命令接受 Dockerfile 作為輸入產(chǎn)出 OCI 鏡像。教程給出的示例 Dockerfile 如下# Base on the most recently released Fedora FROM fedora:latest MAINTAINER ipbabble email buildahboyredhat.com # not a real email # Install updates and httpd RUN echo Updating all fedora packages; dnf -y update; dnf -y clean all RUN echo Installing httpd; dnf -y install httpd dnf -y clean all # Expose the default httpd port 80 EXPOSE 80 # Run the httpd CMD [/usr/sbin/httpd, -DFOREGROUND]執(zhí)行構建# buildah build -f Dockerfile -t fedora-httpd .由于buildah build默認使用當前目錄下的Dockerfile并以當前目錄作為構建上下文上式可以簡寫為# buildah build -t fedora-httpd構建過程中你會看到 Dockerfile 的每一步依次執(zhí)行FROM會先創(chuàng)建一個以鏡像名-working-container命名的工作容器RUN指令經(jīng)由 runc 在容器內(nèi)執(zhí)行——這與前面buildah run的機制同源完成后buildah images中出現(xiàn)新鏡像。用 Podman 起容器驗證服務并做端口映射# podman run --rm -p 8123:80 fedora-httpd另開一個 shell# curl localhost:8123看到標準的 Apache 歡迎頁即驗證成功。教程最后的開放練習修改 Dockerfile不安裝 httpd改用ADD指令引入前面的runecho.sh并把它設為CMD再走一遍構建流程。倉庫的 tests/ 目錄中有大量圍繞 Dockerfile 行為的集成測試如 tests/bud.bats 及各tests/bud/子目錄的測試用例可以結合源碼進一步理解buildah build對COPY、ADD、多階段構建、ARG/ENV等指令的具體處理邏輯。七、小結一條完整的 Buildah 心智模型把上面的操作串起來Buildah 的核心工作模型是四步buildah from image|scratch創(chuàng)建 working container源碼入口 cmd/buildah/from.go命名規(guī)則見 new.go填充內(nèi)容buildah run在容器內(nèi)執(zhí)行命令、buildah copy拷入文件、buildah mount 宿主工具直接操作根文件系統(tǒng)實現(xiàn)見 mount.gobuildah config寫入元數(shù)據(jù)cmd、label、author 等buildah commit把工作容器的變更固化為 OCI 鏡像之后可通過buildah push發(fā)送到 registry、Docker daemon 等任意 transport。所有產(chǎn)物嚴格遵循 OCI 規(guī)范因此天然可移植。若想繼續(xù)深入建議按序閱讀 docs/tutorials/ 下的后續(xù)教程鏡像倉庫交互、ONBUILD 機制、把 Buildah 作為庫集成進自有構建工具、rootless OpenShift 構建以及各命令的 man pagedocs/buildah-run.1.md、docs/buildah-commit.1.md、docs/buildah-mount.1.md、docs/buildah-config.1.md、docs/buildah-push.1.md 等它們覆蓋了本教程未展開的全部命令行參數(shù)。贊分享云原生【免費下載鏈接】buildahA tool that facilitates building OCI images.項目地址https://gitcode.com/gh_mirrors/bu/buildah點擊查看免費下載相關推薦container構建系統(tǒng)詳解從Dockerfile到OCI鏡像的完整流程container構建系統(tǒng)詳解從Dockerfile到OCI鏡像的完整流程 container構建系統(tǒng)是專門為Mac平臺優(yōu)化的Linux容器構建工具采用SwCLI虛擬化容器運行時云原生Buildah: OCI鏡像構建工具Buildah: OCI鏡像構建工具 1. 項目介紹 Buildah是一個開源命令行工具用于構建Open Container Initiative OCI 容云原生終極指南Docker構建工具鏈如何從Dockerfile到OCI鏡像的完整流程終極指南Docker構建工具鏈如何從Dockerfile到OCI鏡像的完整流程 Docker構建工具鏈是現(xiàn)代容器化開發(fā)的核心它通過Dockerfile指令逐云原生容器運行時虛擬化容器編排上一篇Apache Pulsar 授權機制詳解Authorization 配置、Superusers 與 Proxy Roles 實戰(zhàn)指南下一篇Lynx 模板二進制編碼中的 Style Object 解析與編碼實戰(zhàn)指南創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考