BuildKit: Vatosoa miafina an'i Docker izay afaka manorina saika na inona na inona

BuildKit: Vatosoa miafina an'i Docker izay afaka manamboatra saika na inona na inona

Ny ankamaroan'ny mpamorona dia mahafantatra an'i Docker ho toy ny fotoana fandehanana kaontenera izay nanova ny fomba fandefasana rindrambaiko. Vitsy kokoa no mahafantatra momba ny motera mihodinkodina mangina eo ambanin'ny tranon'ny Docker maoderina rehetra - BuildKit, rafitra fananganana taranaka manaraka izay nalefa niaraka tamin'i Docker nanomboka tamin'ny version 18.09 ary lasa backend default ao amin'ny Docker 23.0. Raha miady hevitra tsy misy farany momba ny fanamafisana Kubernetes sy ny lamina microservice ny injeniera, dia nivoatra hatrany ny BuildKit ho iray amin'ireo rafitra fananganana matanjaka indrindra ao amin'ny tontolo iainana DevOps. Raha raisinao ho toy ny fananganana docker haingana kokoa izy io, dia mamela fahaiza-manao goavana eo amin'ny latabatra ianao. Nahena 50-70% ny fotoana fanamboarana amin'ny alalan'ny fahatakarana fotsiny ny tena atolotry ny BuildKit — ary vao fiandohana ihany izany.

Inona no mampiavaka ny BuildKit amin'ny Mpamorona Classic

Ny motera fananganana Docker tany am-boalohany dia nanatanteraka ny toromarika Dockerfile nisesy, sosona iray isaky ny mandeha, tsy misy fahafantarana ny asa mety hitranga amin'ny lafiny iray. Ny BuildKit dia manolo an'io maodely famonoana tsipika io miaraka amin'ny graph acyclic directed (DAG) - kisary miankina izay mahafantatra hoe iza amin'ireo dingana fananganana no mifampiankina ary izay tsy. Ny dingana tsy miankina dia miara-miasa, ny dingana tsy ampiasaina dia adino tanteraka, ary ny fananganana manontolo dia lasa filazalazana ny zavatra tianao fa tsy filaharan'ireo dingana tsy maintsy averinao amin'ny filaharana marina.

Ity fiovana ara-javakanto ity dia misy vokany azo ampiharina mihoatra ny hafainganam-pandeha. Rehefa misy Dockerfile misy dingana maromaro manangona ny binary Go amin'ny dingana iray, misintona ny fiankinan-doha amin'ny Node.js amin'ny iray hafa, ary manangona sary famokarana amin'ny fahatelo, ny BuildKit dia afaka mampandeha ny dingana roa voalohany miaraka. Ny fananganana iray izay naharitra efatra minitra teo aloha tamin'ny mpihazakazaka CI matanjaka dia vita ao anatin'ny sivifolo segondra. Stripe, Shopify, ary ekipa injeniera avo lenta hafa dia nandrakitra tombony mitovy amin'izany amin'ny famerenana ny fitaovana anatiny. Ny maodely DAG dia midika ihany koa fa ny BuildKit dia afaka mamorona metadata fananganana tena marina — fototra ho an'ny endri-javatra toa ny fanamarinam-pamokarana sy ny famoahan'ny lozisialy volavolan-dalàna (SBOM) izay manan-danja lehibe amin'ny fiarovana ny rojo famatsiana.

Misy fiovana hevitra ihany koa amin'ny fomba fiasan'ny fanafoanana ny cache. Ny mpanamboatra mahazatra dia nanafoana ny sosona rehetra teo ambanin'ny torolàlana niova. Ny BuildKit dia manara-maso ny votoaty amin'ny fidirana tsirairay, ka ny fanovana fanehoan-kevitra ao amin'ny Dockerfile dia tsy manafoana ny fidirana cache izay maneho ny fanangonana telopolo minitra. Raha toa ka ny fahasamihafan'ny tamberin'andraikitra dimy minitra sy efapolo minitra ho an'ny ekipan'ny injenieranao ny cache namboarinao, dia zava-dehibe lavitra noho izay mety ho hita tany am-boalohany io fahitsiana io.

Fanorina Multi-Platform: Didy iray, Architecture Rehetra

Ny --platform

BuildKit's --platform fanevan'ny saina sy ny fampidirana QEMU dia manova ny olana teo aloha fandrindrana rafitra maro be ho baiko tokana. Ny fampandehanana docker buildx build --platform linux/amd64,linux/arm64,linux/arm/v7 . dia mamokatra sary efa vonona amin'ny famokarana telo mifanandrify amin'ny fangatahana fananganana tokana. Lasa manan-danja io fahaiza-manao io satria nifindra tany amin'ny ARM ny indostria — ny tranga AWS Graviton3 dia manome 40% tsara kokoa ny vidiny amin'ny enta-miasa toy ny serivisy amin'ny Internet sy ny fanodinana data, ary Apple Silicon dia nanao ny ARM ho milina fampivoarana mahazatra ho an'ny injeniera an-tapitrisany.

Talohan'ny nahamatotra ny fanohanana sehatra maro an'ny BuildKit, ny fikojakojana fantsona fananganana misaraka ho an'ny maritrano samihafa dia ivon-tseranana tena izy. Na ny ekipa dia nitazona dockerfiles marobe, nihazakazaka CI misaraka amin'ny mpihazakazaka samy hafa, na nandefa sary x86 na aiza na aiza ary nandoa ny sazy amin'ny fotodrafitrasa ARM. Miaraka amin'ny BuildKit, mamaritra ny fanangananao indray mandeha ianao ary avelao ny rafitra hitantana ny fanangonana manokana momba ny maritrano. Tetik'asa harafesina izay mitaky famoriam-bola, tetikasa Go miaraka amin'ny fiankinan'ny CGO, fonosana Python miaraka amin'ny fanitarana C — BuildKit no mitantana ny sosona emulation nefa tsy mila anao hahatakatra ny antsipirian'ny sehatra kendrena tsirairay.

Azo refesina ny sandan'ny orinasa azo ampiharina eto. Ekipa iray mitantana kaontenera 200 amin'ny tranga AWS Graviton amin'ny $0.04 isaky ny ora vCPU mifanohitra amin'ny ohatra x86 mitovy amin'ny $0.056 isaky ny ora vCPU dia mitahiry $11,520 eo ho eo isan-taona isaky ny vCPU 100 - amin'ny fisafidianana ny maritrano tsara. Ny fanaovana an'io safidy io ho azo idirana tsy misy ezaka amin'ny fanamboarana indray no karazana fanatsarana ny fotodrafitrasa izay mandoa ho azy avy hatrany.

Fitantanana miafina tsy miboiboika amin'ny sosona sary

Iray amin'ireo endri-javatra BuildKit tsy dia ankasitrahana indrindra ny API tsiambaratelony. Ny mpanamboatra Docker mahazatra dia tsy nanana fomba madio handefasana mari-pankasitrahana ho trano iray raha tsy misy ireo fahazoan-dàlana mety hiafara amin'ny sarin-tsary. Niara-niasa tamin'izany ireo mpamolavola tamin'ny alalan'ny fanamboarana dingana maro, ARG toromarika, ary ny fibaikoana amim-pitandremana — fa ny loza mety hitranga tsy nahy hanendasany ny lakilen'ny API na ny lakilen'ny SSH manokana amin'ny sary nalefa dia mbola tsy nahazo aina. Matetika ny mpitsikilo fiarovana dia mahita mari-pamantarana misy kaody mafy ao amin'ny sarin'ny kaontenera navoaka any amin'ny rejisitra ho an'ny daholobe, ary maro amin'ireo tafaporitsaka ireo no miverina mivantana any amin'ny fikarakarana miafina miafina mandritra ny fanamboarana.

Ny --secret an'ny BuildKit dia mametraka angon-drakitra saro-pady ao amin'ny tontolon'ny fananganana ho toy ny lalan'ny rafi-drakitra vonjimaika izay tsy misy afa-tsy mandritra ny faharetan'ny toromarika RUN manokana izay mila izany ary tsy mikasika ny sosona sary. Ny torolàlana Dockerfile toy ny RUN --mount=type=secret,id=npmrc cat /run/secrets/npmrc > ~/.npmrc && npm install dia manome ny fizotry ny fananganana fidirana amin'ny fahazoan-dàlana npm manokana raha tsy misy ireo mari-pamantarana hita ao amin'ny sary farany na sosona manelanelana. Io lamina io ihany no miasa ho an'ny fahazoan-dàlana PyPI, firafitry ny Maven, fanalahidin'ny SSH ho an'ny fitahirizana Git manokana, ary izay fitaovana hafa saro-pady ilain'ny fizotry ny fanangananao.

Ho an'ny ekipa fananganana rindrambaiko izay mikasika ny indostria voafehy — sehatra fitsaboana ara-pahasalamana, vokatra fintech, rindrankajy HR — ny tsy fitovian'ny hoe “mety ho eo amin'ny sary ny fahazoan-dàlana” sy ny “tsy mety ho hita eo amin'ny sary” ny fahasamihafan'ny fandalovana fanaraha-maso fiarovana sy ny fandaniana telo herinandro hamerenana ny fikarohana. Ny sehatra toa an'i Mewayz, izay miasa amin'ny fandraharahana ho an'ny mpampiasa maherin'ny 138,000 manerana ny indostria toy ny karama, ny HR, ary ny faktiora, dia miankina amin'io karazana fiarovana azo tsapain-tanana io amin'ny fananganana sy fametrahana fantsona mba hitazonana ny fahatokisan'ireo mpanjifany amin'ny angona ara-bola sy mpiasa saro-pady.

Fanondrana Cache: Manao haingana ny fantsona CI

Ny pipelines CI no tena zava-dehibe indrindra amin'ny fanamboarana ary ny toerana misy ny traikefan'ny Docker manangana default no tena maharary indrindra. Ny mpihazakazaka CI vaovao dia manomboka amin'ny cache foana, midika izany fa ny fantsona fantsona rehetra dia mamerina ny zava-drehetra hatrany am-boalohany. Ho an'ny serivisy Java miaraka amin'ny fiankinan-doha an-jatony Maven, tetikasa Rust, na fampiharana Python misy fanitarana teratany mavesatra, midika izany fa ny fotoana fananganana refesina ao anatin'ny folo minitra fa tsy segondra. Ny sandan'ny fandraharahana amin'ny CI miadana dia lehibe — mihena ny fatran'ny fandefasana, ny tadivavarana tamberina lava kokoa, ary ny injeniera mipetra-potsiny miandry ny fahavitan'ny fantsona vao afaka mitambatra sy mandroso.

Ny endri-javatra fanondranana cache an'ny BuildKit dia mamaha izany miaraka amin'ny fisehoana cache azo aondrana. Amin'ny fampiasana --cache-to type=registry,ref=myregistry/myapp:cache sy --cache-from type=registry,ref=myregistry/myapp:cache, ny BuildKit dia manosika sary an-tsarin'ny cache amin'ny antsipirihan'ny rejisitra iray aorian'ny fananganana tsirairay ary misintona azy amin'ny fiandohan'ny manaraka. Ny cache dia voaresaka amin'ny atiny, ka ny sosona niova marina ihany no averina alaina. Ireo ekipa mampiasa an'io lamina io ao amin'ny GitHub Actions, GitLab CI, ary CircleCI dia manapaka tsy tapaka ny fe-potoam-pivoriana manomboka amin'ny dimy ambin'ny folo minitra ka hatramin'ny telo amin'ny hazakazaka manaraka. Ny antontan-taratasin'i GitHub manokana momba ny workflows fananganana Docker mandroso dia manoro hevitra mafy an'io lamina io noho io antony io indrindra.

Ny fananganana haingana indrindra dia ilay tsy maintsy ataonao indray. Ny rafitra cache misy sosona sy misy adiresy votoaty an'ny BuildKit dia tsy manafaingana ny fananganana fotsiny — mahatonga ny foto-kevitra iray manontolo momba ny "fanorenana" ho marani-tsaina kokoa, mamadika fitambarana miverimberina ho isan'ny fiovaovan'ny tena marina.

Ny fanondranana cache dia mitambatra tsara amin'ny rindranasa fampandrosoana mifototra amin'ny sampana. Azonao atao ny manamboatra ny fantsona CI anao mba hihemotra avy amin'ny cache manokana sampana mankany amin'ny cache sampana lehibe rehefa tsy misy cache sampana, midika izany fa ny sampana vaovao dia mahazo tombony avy hatrany amin'ny cache mafana voaangona avy amin'ny tsipika fampandrosoana lehibe anao. Ny injeniera dia mahazo valiny haingana avy amin'ny fanoloran-tenany voalohany amin'ny sampana vaovao fa tsy miandry amin'ny sazy mangatsiaka.

BuildKit Frontends: Manorina mihoatra ny Dockerfiles

Angamba ny fahaiza-manaon'ny BuildKit tsy dia fantatra loatra dia ny Dockerfiles dia endrika fampidirana azo atao - fa tsy ny iray ihany. Ny BuildKit dia manana maritrano eo anoloana pluggable izay mamela ny fiteny sy ny endrika famaritana manokana. Ny frontend dia voafaritra amin'ny alàlan'ny toromarika # syntax= eo an-tampon'ny fisie fanangananao, izay milaza amin'ny BuildKit mba hisintona sary eo anoloana manokana ary hampiasa azy io handinihana sy hanatanterahana ny sisa amin'ny rakitra.

Ity maritrano ity dia nahafahan'ny tetikasa maro mahasarika. Ny fampidirana Buildpacks dia ahafahan'ny BuildKit manangana sary fitoeran-javatra avy amin'ny kaody loharanon'ny fampiharana nefa tsy misy Dockerfile mihitsy - mahita ilay fiteny izy, mifidy sary fototra mifanaraka amin'izany, ary manangona ho azy ny fitoeran-javatra efa vonona. Ny HPC sy ny vondrom-piarahamonina informatika siantifika dia nampiasa ny endriny manokana hamaritana ny fananganana amin'ny fiteny manokana amin'ny sehatra izay mitambatra ho amin'ny fanehoana LLB (Low-Level Build) anatiny ao amin'ny BuildKit. Ny docker/dockerfile:labs andrana eo anoloana syntax miaraka amin'ny endri-javatra toy ny fanohanan'ny heredoc, --network fanaraha-maso isaky ny toromarika, ary ny soso-kevitra cache nohatsaraina alohan'ny hidirany ao amin'ny syntax Dockerfile stable.

Ny fahafahana mamaritra ny lohanao manokana dia midika ihany koa fa ny fikambanana manana fepetra fananganana tsy mahazatra dia tsy mila misafidy eo amin'ny "shoehorn ny zava-drehetra ao amin'ny dockerfile syntax" sy ny "andao tanteraka ny fitoeran-javatra." Ny firmware FPGA manangana ekipa, sary misy rafitra, na kaontenera modely ML manokana dia afaka manoritsoritra ny fananganana azy amin'ny teny izay mitombina amin'ny sehatra misy azy nefa mbola mamokatra sary fitahirizana manara-penitra OCI izay mametraka na aiza na aiza misy kaontenera mandeha. Io fanitarana io dia tena tombony ara-javakanto raha oharina amin'ny rafitra fananganana izay mitondra ny endrika fampidirana azy ho raikitra.

Provenance and SBOM: Building for the Post-SolarWinds World

Ny fiarovana ny rojo famatsiana lozisialy dia nifindra avy amin'ny ahiahy ara-teorika ho amin'ny laharam-pahamehana eo amin'ny birao taorian'ny fanitsakitsahana ny SolarWinds tamin'ny 2020 sy ny vulnerability Log4Shell tamin'ny 2021. Ny Didim-pitondrana mpanatanteraka 14028 an'ny governemanta amerikana momba ny cybersecurity, navoaka tamin'ny Mey 2021, dia nandidy ny volavolan-dalàna momba ny fitaovana ho an'ny mpandraharaha federaly. Ny fanamarinan'ny BuildKit sy ny endri-pamokarana SBOM dia valiny mivantana amin'ity tontolon'ny lalàna sy fiarovana ity.

Amin'ny --provenance=true sy --sbom=true saina, ny BuildKit dia mamorona fanamarinam-panamarinana voasonia kriptografika izay mamaritra mazava tsara izay niditra tao anaty sarin'ny container — izay sary fototra no nampiasaina, izay ny Dockerfile toromarika notanterahina, izay loharanon-drakitra misy, ary inona ny fiankinan-doha ivelany nalaina. Ireo fanamarinana ireo dia manaraka ny rafitry ny SLSA (Supply-chain Levels for Software Artifacts) sy ny endrika attestation in-toto, ka mahatonga azy ireo ho azo hamarinin'ny milina amin'ny maotera politika toa ny Sigstore's Cosign sy OPA (Open Policy Agent).

Toy izao ny fomba fiasa azo ampiharina:

1. Ny mpamorona dia manosika kaody; Ny fantsona CI dia miteraka fananganana BuildKit miaraka amin'ny provenance.
2. BuildKit dia mamorona SBOM voasonia mitanisa ny singa rehetra sy ny dikan-ny.
3. Ny SBOM dia navoaka tao amin'ny rejisitra fitoeran'entana miaraka amin'ny fanehoana sary.
4. Ny mpanara-maso ny fidirana ao amin'ny kluster Kubernetes dia manamarina ny fiaviany alohan'ny hamelana ny fametrahana.
5. Ny scanner vulnerable dia manontany ny SBOM mba hamantarana ireo sary voakasika rehefa avoaka ny CVE vaovao.

Ny ekipa izay mampihatra an'io fantsona feno io dia afaka mamaly amin'ny fampahafantarana ny vulnerable ao anatin'ny ora maro fa tsy andro, satria manana sarintany mazava tsara sy azo vakiana amin'ny milina ny singa tsirairay ao anatin'ny kaontenera mandeha. Ho an'ny orinasa toa an'i Mewayz izay miditra lalina amin'ny fizotran'ny fiasan'ny mpanjifa — ny fandoavana ny karama, ny fitantanana ny angon'ny fiarakodia, ny fanodinana faktiora — ny fahaizana maneho rojo famatsiana henjana sy azo zahana dia tsy maintsy takiana amin'ny resaka varotra orinasa, fa tsy hoe mahafinaritra fotsiny.

Fanombohana: Avy amin'ny fananganana Default mankany amin'ny Pipelines mandroso

Ny BuildKit dia efa mandeha ao amin'ny tontolo Docker anao raha mampiasa dikan-teny vao haingana ianao - Docker 23.0 ary avelao izany amin'ny alàlan'ny default. Ny dingana azo ampiharina voalohany ho an'ny ankamaroan'ny ekipa dia mamela ny Docker Buildx plugin, izay mampiseho ny endri-javatra feno BuildKit napetraka amin'ny alàlan'ny docker buildx subcommand. Ny fampandehanana docker buildx create --use dia manangana ohatra mpanamboatra BuildKit manana fahaiza-manao bebe kokoa noho ny mpamily mahazatra. Avy eo dia misy dikany ny fampiasana ny endri-javatra mandroso kokoa fa tsy manandrana mandray ny zava-drehetra indray mandeha.

Lalan-dalan'ny fananganan-jaza ho an'ny ekipa iray manao fananganana docker fototra amin'izao fotoana izao dia toa manampy ny fanondranana cache amin'ny CI aloha — izany dia manome fanatsarana haingana sy azo refesina miaraka amin'ny fiovana kely indrindra. Lasa sarobidy ny fananganana sehatra maro rehefa manomboka mikendry fotodrafitrasa ARM ny ekipa. Ny fametrahana miafina dia mendrika ny hampiasaina amin'ny fotoana rehetra hisehoan'ny rejisitry ny fonosana manokana na ny fanalahidin'ny SSH amin'ny toe-javatra fananganana. Ny fanamarinan-tena dia misy dikany mba ahafahan'ny fitakiana fanarahan-dalàna na ny fitakian'ny mpanjifan'ny orinasa dia ilaina ny antontan-taratasy momba ny famatsiana.

Ny lesona lalindalina kokoa an'ny BuildKit dia momba ny fananganana fanahy iniana. Na mandefa kaontenera ho an'ny microservice ianao, na teboka farany amin'ny fianarana milina, na sehatra sarotra toa an'i Mewayz's suite of 207 business modules, ny fizotry ny fananganana dia tsy fomba fanaonao haingana amin'ny alàlan'ny fametrahana azy - artifact injeniera izay maneho ny kalitao, ny fihetsika fiarovana ary ny fahamatoran'ny fiasan'ny zavatra rehetra mivoaka avy ao. BuildKit dia manome anao ny fitaovana mba hahatonga an'io artifact io ho tsara. Ny fanontaniana dia tsotra raha maka fotoana hampiasana azy ireo ianao.

Fanontaniana matetika

Inona no atao hoe BuildKit ary inona no maha samy hafa azy amin'ny rafitra fananganana Docker mahazatra?

BuildKit dia motera fananganana taranaka manaraka an'i Docker, nampidirina tao amin'ny Docker 18.09 ary nanao ny default ao amin'ny Docker 23.0. Tsy toy ny mpanamboatra mahazatra, ny BuildKit dia manohana ny famonoana sosona mifanitsy, ny paikady caching mandroso, ny fametrahana tsiambaratelo ary ny fananganana cross-platform. Raisiny ho toy ny graph acyclic directed (DAG) ny fizotran'ny fananganana, izay ahafahana mamaha ny fiankinan-doha marani-tsaina sy ny fotoana fanamboarana haingana kokoa ho an'ny Dockerfiles be pitsiny sy dingana maro.

Mila mametraka zavatra fanampiny ve aho vao manomboka mampiasa BuildKit miaraka amin'ny Docker?

Tsy misy fametrahana fanampiny ilaina raha toa ka mampiasa Docker 23.0 na aoriana ianao - BuildKit dia alefa amin'ny alàlan'ny default. Amin'ny dikan-teny taloha, azonao atao ny manetsika azy amin'ny alàlan'ny fametrahana ny fari-piainan'ny tontolo iainana DOCKER_BUILDKIT=1 alohan'ny handefasana ny baiko fanangananao. Ho an'ny tranga fampiasa mandroso toy ny cache fananganana lavitra na fananganana sehatra maro, azonao atao ny manitsy ohatra Buildx natokana amin'ny fampiasana docker buildx create.

Afaka ampiasaina ve ny BuildKit hananganana artifact mihoatra ny sarin'ny container mahazatra?

Eny, ary ity no iray amin'ireo fahaiza-manaon'ny BuildKit tsy dia ankasitrahana indrindra. Amin'ny fampiasana ny frontend manokana sy ny saina --output, ny BuildKit dia afaka mamokatra binary manta, tarballs, tranokala static, ary artifacts rakitra tsy misy dikany hafa - fa tsy sary OCI ihany. Izany no mahatonga azy io ho maotera fanamboarana tanjona ankapobeny izay mifanaraka ho azy amin'ny polyglot monorepos sy ny fantsona CI sarotra izay ilain'ny ekipa samihafa ny endrika famoahana samihafa avy amin'ny rojom-pitaovana mitambatra.

Ahoana no ifandraisan'ny BuildKit amin'ny sehatra DevOps midadasika kokoa miaraka amin'ireo fitaovana toa an'i Mewayz?

Ny BuildKit dia mitantana ny sosona fananganana ambany, fa ny ekipa fampandrosoana maoderina dia mila mitantana ny fizotran'ny fandraharahana, ny fandefasana mpanjifa ary ny fizotran'ny asa. Ny sehatra toy ny Mewayz — OS orinasa 207-module manomboka amin'ny $19/mo — dia mameno ny fitaovana fotodrafitrasa amin'ny fandrakofana ny lafiny fiasan'ny orinasa rindrambaiko. Ny fampiarahana ireo fantsona fanamboarana mahomby ampiasain'ny BuildKit miaraka amin'ny sehatra iray manontolo toa an'i Mewayz dia manome ny ekipa ny fitambarana feno manomboka amin'ny artifact kaody mankany amin'ny fanaterana mpanjifa.