上一期我們介紹了幾種常見的構(gòu)建鏡像方式铃芦，并給出了功能對(duì)比沮尿、決策樹等作為選型參考轿亮。本期我們將演示如何使用 Alpine 構(gòu)建一個(gè) Redis 鏡像。
Alpine 系統(tǒng)使用 apk 包管理工具福贞，文中相關(guān) apk 使用技巧不再贅述。
我們將構(gòu)建鏡像 Dockerfile 中的幾個(gè)部分單獨(dú)講解停士，最后提供一個(gè)完整的 Demo肚医。重點(diǎn)在如何使用 Alpine，Redis 鏡像構(gòu)建步驟此文不詳細(xì)介紹向瓷。
文章大綱：
- 更換鏡像源
- 構(gòu)建鏡像所需軟件
- 啟動(dòng)服務(wù)
- 調(diào)整時(shí)區(qū)
- 包含 1- 4 的完整鏡像構(gòu)建 Demo
更換鏡像源
首先肠套，為了在本地更流暢的部署，可以更換更流暢的鏡像源猖任。我們這里將 apk 的軟件包鏡像源修改為中科大鏡像源你稚。
RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.ustc.edu.cn/g' /etc/apk/repositories
構(gòu)建鏡像所需軟件
構(gòu)建鏡像時(shí)，只一些只有構(gòu)建時(shí)才需要的文件/軟件朱躺。比如 gcc 只有編譯時(shí)候才會(huì)用到刁赖；wget 用于下載文件；傳統(tǒng) yum/apt 需要用完后手動(dòng)卸載軟件和依賴长搀，還要自己清理臨時(shí)文件宇弛。而 Alpine 的 apk 可以用起來更方便。
- --no-cache:不使用緩存目錄緩存源请，裝完也不保留緩存枪芒。
- --virtual .build-deps:不真實(shí)安裝，將軟件安裝到虛擬包 .build-deps 中谁尸，方便 del 時(shí)一口氣卸載所有包舅踪。
- --no-network:不使用網(wǎng)絡(luò)。
RUN set -eux; \
\
apk add --no-cache --virtual .build-deps \
coreutils \
wget \
dpkg-dev dpkg \
gcc \
linux-headers \
make \
musl-dev \
openssl-dev ;\
#########################################
#
# 構(gòu)建部分
#
#########################################
apk del --no-network .build-deps;
啟動(dòng)服務(wù)
通常我們啟動(dòng)鏡像前需要使用 shell 調(diào)整下啟動(dòng)狀態(tài)良蛮，做準(zhǔn)備抽碌。比如：生成配置文件，檢查路徑掛載等等决瞳。然后再拉起服務(wù)货徙，但會(huì)遇到兩個(gè)問題：
- 普通用戶權(quán)限不夠，必須啟動(dòng) root 皮胡，但使用 root 啟動(dòng)服務(wù)又不安全痴颊。
- 使用 shell 啟動(dòng)進(jìn)程會(huì)導(dǎo)致 shell 進(jìn)程本身 PID 為 1。而我們所啟動(dòng)服務(wù) PID 不是 1胸囱，這就會(huì)導(dǎo)致服務(wù)本身接收不到 SIGTERM 信號(hào)而正常關(guān)閉祷舀。
解決方案
- 使用
su-exec指定特定權(quán)限。- 這需要使用 apk 命令安裝，下面有示例裳扯。
- 需要提前創(chuàng)建好相應(yīng)賬號(hào)抛丽。
- 使用
exec命令將啟動(dòng)的服務(wù)進(jìn)程替換當(dāng)前進(jìn)程，從而將 PID=1 傳遞給服務(wù)進(jìn)程饰豺。
說明: 這里使用 su-exec 而不使用 sudo 的原因是傳統(tǒng) sudo 會(huì)新創(chuàng)建出一個(gè)進(jìn)程運(yùn)行服務(wù)亿鲜，導(dǎo)致 PID 不能為 1，進(jìn)而導(dǎo)致無法接收到 signal 信號(hào)而正常關(guān)閉服務(wù)冤吨。
示例
Dockerfile 內(nèi)容如下：
FROM alpine:3.16
# 創(chuàng)建用戶
RUN addgroup -S -g 1000 redis && adduser -S -G redis -u 999 redis
# 安裝 su-exec 命令
RUN apk add --no-cache 'su-exec>=0.2'
############################################################
#
# 其它部署 內(nèi)容
#
############################################################
ENTRYPOINT ["/usr/bin/entrypoint.sh"]
/usr/bin/entrypoint.sh 內(nèi)容如下：
#!/bin/sh
set -e
############################################################
#
# 啟動(dòng)準(zhǔn)備腳本內(nèi)容
#
############################################################
# 最終啟動(dòng)命令
exec su-exec redis redis-server "$@"
調(diào)整時(shí)區(qū)
由于 Alpine 系統(tǒng)的時(shí)區(qū)是 UTC蒿柳，作者需要設(shè)置為上海′鲶。可以用如下方式調(diào)整時(shí)區(qū)垒探。
RUN apk add --no-cache tzdata ;\
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
如果對(duì)鏡像精簡(jiǎn)要求比較高，可以調(diào)整時(shí)區(qū)后怠李，刪除時(shí)區(qū)軟件包圾叼，這也會(huì)導(dǎo)致以后很難再修改時(shí)區(qū)。
RUN apk add --no-cache --virtual .build-tzdata tzdata ; \
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime ;\
apk del .build-tzdata;
完整 Demo
我們將以上部分整理為一個(gè)完整的 Redis 鏡像構(gòu)建 Demo （Redis 版本 6.2.7）捺癞。
Dockerfile 文件
FROM alpine:3.16
RUN addgroup -S -g 1000 redis && adduser -S -G redis -u 999 redis
# 改為中科大鏡像源
RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.ustc.edu.cn/g' /etc/apk/repositories
# 調(diào)整時(shí)區(qū)
RUN apk add --no-cache --virtual .build-tzdata tzdata ; \
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime ;\
apk del .build-tzdata;
RUN apk add --no-cache \
'su-exec>=0.2' \
tzdata
ENV REDIS_VERSION 6.2.7
ENV REDIS_DOWNLOAD_URL http://download.redis.io/releases/redis-6.2.7.tar.gz
ENV REDIS_DOWNLOAD_SHA b7a79cc3b46d3c6eb52fa37dde34a4a60824079ebdfb3abfbbfa035947c55319
# 編譯 Redis 相關(guān)鏡像
RUN set -eux; \
\
# 使用 --virtual 將軟件包虛擬安裝到 .build-deps 空間下, 之后會(huì)被打包
# 使用 --no-cache 不會(huì)留下緩存文件
apk add --no-cache --virtual .build-deps \
coreutils \
dpkg-dev dpkg \
gcc \
linux-headers \
make \
musl-dev \
openssl-dev \
wget \
; \
\
wget -O redis.tar.gz "$REDIS_DOWNLOAD_URL"; \
echo "$REDIS_DOWNLOAD_SHA *redis.tar.gz" | sha256sum -c -; \
mkdir -p /usr/src/redis; \
tar -xzf redis.tar.gz -C /usr/src/redis --strip-components=1; \
rm redis.tar.gz; \
\
# 禁用 Redis 的保護(hù)模式
grep -E '^ *createBoolConfig[(]"protected-mode",.*, *1 *,.*[)],$' /usr/src/redis/src/config.c; \
sed -ri 's!^( *createBoolConfig[(]"protected-mode",.*, *)1( *,.*[)],)$!\10\2!' /usr/src/redis/src/config.c; \
grep -E '^ *createBoolConfig[(]"protected-mode",.*, *0 *,.*[)],$' /usr/src/redis/src/config.c; \
\
# 獲取CPU架構(gòu)
gnuArch="$(dpkg-architecture --query DEB_BUILD_GNU_TYPE)"; \
extraJemallocConfigureFlags="--build=$gnuArch"; \
dpkgArch="$(dpkg --print-architecture)"; \
case "${dpkgArch##*-}" in \
amd64 | i386 | x32) extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-page=12" ;; \
*) extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-page=16" ;; \
esac; \
extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-hugepage=21"; \
# 根據(jù)架構(gòu)調(diào)整 Makefile 文件
grep -F 'cd jemalloc && ./configure ' /usr/src/redis/deps/Makefile; \
sed -ri 's!cd jemalloc && ./configure !&'"$extraJemallocConfigureFlags"' !' /usr/src/redis/deps/Makefile; \
grep -F "cd jemalloc && ./configure $extraJemallocConfigureFlags " /usr/src/redis/deps/Makefile; \
\
# 編譯 Redis
export BUILD_TLS=yes; \
make -C /usr/src/redis -j "$(nproc)" all; \
make -C /usr/src/redis install; \
\
# Redis
serverMd5="$(md5sum /usr/local/bin/redis-server | cut -d' ' -f1)"; export serverMd5; \
find /usr/local/bin/redis* -maxdepth 0 \
-type f -not -name redis-server \
-exec sh -eux -c ' \
md5="$(md5sum "$1" | cut -d" " -f1)"; \
test "$md5" = "$serverMd5"; \
' -- '{}' ';' \
-exec ln -svfT 'redis-server' '{}' ';' \
; \
\
rm -r /usr/src/redis; \
\
runDeps="$( \
scanelf --needed --nobanner --format '%n#p' --recursive /usr/local \
| tr ',' '\n' \
| sort -u \
| awk 'system("[ -e /usr/local/lib/" $1 " ]") == 0 { next } { print "so:" $1 }' \
)"; \
apk add --no-network --virtual .redis-rundeps $runDeps; \
# 基于前面安裝卸載 .build-deps 虛擬包
apk del --no-network .build-deps; \
\
redis-cli --version; \
redis-server --version
RUN mkdir /data && chown redis:redis /data
VOLUME /data
WORKDIR /data
COPY docker-entrypoint.sh /usr/local/bin/
ENTRYPOINT ["docker-entrypoint.sh"]
EXPOSE 6379
CMD ["redis-server"]
Dockerfile 中 ENTRYPOINT 所使用的 docker-entrypoint.sh 文件內(nèi)容如下夷蚊。
#!/bin/sh
set -e
# 當(dāng)?shù)谝粋€(gè)參數(shù)使用 `-f` or `--some-option` 這樣參數(shù)時(shí)
# 或以 `.conf` 結(jié)尾,
if [ "${1#-}" != "$1" ] || [ "${1%.conf}" != "$1" ]; then
# 將第一個(gè)參數(shù)設(shè)為 redis-server, 方便后面啟動(dòng)
set -- redis-server "$@"
fi
# 當(dāng)啟動(dòng)程序是 'redis-server' 且 uid = 0 時(shí), 即 Root 啟動(dòng)
if [ "$1" = 'redis-server' -a "$(id -u)" = '0' ]; then
# 1. 調(diào)整數(shù)據(jù)目錄屬主為 Redis
find . \! -user redis -exec chown redis '{}' +
# 2. 使用 exec su-exec 組合啟動(dòng)redis-server, 會(huì)將當(dāng)前 PID 傳遞給 redis-server, 并切換用戶為 redis
# 注意: 使用 exec 后, 后面腳本將不會(huì)執(zhí)行
exec su-exec redis "$0" "$@"
fi
# 當(dāng)用戶使用其它用戶啟動(dòng), 或者非 redis-server 服務(wù)啟動(dòng)適時(shí)會(huì)執(zhí)行如下代碼
# 修改默認(rèn)權(quán)限 為 700
um="$(umask)"
if [ "$um" = '0022' ]; then
umask 0077
fi
# 啟動(dòng)服務(wù)
exec "$@"
總結(jié)
我們從幾個(gè)案例中可以看出，Alpine 為容器做了很多量身打造的特性髓介。比如 apk 的不使用緩存/虛擬包特性惕鼓，容器構(gòu)建帶來極大方便。而 apk 所包含 su-exec 包也比 sudo 更適合容器唐础。
不僅如此箱歧，傳統(tǒng)鏡像精簡(jiǎn)版鏡像的ps/netstat/ifconfig/ip/vi 等命令會(huì)被刪掉，導(dǎo)致后期運(yùn)維困難彻犁。而僅 5M 的 Alpine 卻都自帶叫胁。傳統(tǒng)鏡像去安裝任何一個(gè)命令可能都要比 Alpine 本身都要大，還會(huì)增添 cve 漏洞風(fēng)險(xiǎn)汞幢，而 Alpine 幾乎無需考慮這個(gè)問題。
所以微谓，如果沒有用到 glibc 的服務(wù) Alpine 將是一個(gè)非常不錯(cuò)的選擇森篷。而用了 glibc 測(cè)試過兼容性問題后，Alpine 也是非常不錯(cuò)選擇豺型。
作者：安樹博 青云科技 PaaS 中間件開發(fā)工程師
從事 PaaS 中間件服務(wù)（Redis/Memcached 等）開發(fā)工作仲智，熱衷對(duì) NoSQL 數(shù)據(jù)庫領(lǐng)域內(nèi)技術(shù)的學(xué)習(xí)與研究
