使用 BCI 的五个理由

现在,软件开发的范例是将容器化应用程序部署到 Pod 上,然后通过 Kubernetes 进行管理。Kubernetes 可以管理应用程序的部署、复制、HA、指标和其他功能,这样应用程序就可以专注于本职工作。

要将应用程序容器化,你需要使用镜像,而镜像通常是基于语言的(Golang、Python、Rust、.NET 等)。镜像提供商有很多,包括将镜像提交到镜像仓库的个人贡献者,以及企业级镜像提供商等。你也可以在开发中使用基于操作系统的镜像。

但在使用镜像过程中,我们往往会遇到一些问题。

软件工程问题

  • 安全性:如何确保使用的版本没有受到 CVE 或其他漏洞的影响?

  • 重新分发:需要部署应用程序,但是不了解底层主机、架构或编排技术。

  • 仓库和工具:有时我需要使用一些工具(Git、编译器、库等),但大多数镜像不提供可以获取这些工具和包的可靠仓库。

  • 可用性:开源贡献者和企业软件工程师都需要基于多种平台和架构(ARM、x86_64 等)制作软件。镜像不仅要适应架构,还要适用于不同语言规范。有没有可靠的镜像仓库可以作为获取最新镜像的单一参考点,以便维护镜像的标签历史?

  • 支持和生命周期:在大多数情况下,不受支持的镜像对于企业级软件来说是无效的,因此需要有供应商为用来创建或容器化应用程序的基础提供支持,ISV/IHV 需要更多支持。此外,镜像必须在生命周期内进行更新、修复安全漏洞和提高性能。

使用 BCI 解决这些问题

SUSE 发布了 BCI(Base Container Image),BCI 是专注于安全性、可用性、敏捷性和开发者体验的企业级容器镜像。BCI 不仅基于操作系统,还包括语言包、busybox、base 和 minimal。因此,BCI 是应对各类开发(包括社区项目和生产级应用程序)挑战的理想选择。

BCI 能帮助你解决以下问题:

安全

没有人愿意使用受 CVE 影响的软件来构建应用程序。作为开发人员,使用安全镜像可以确保开发的应用程序是可靠的。以下是一些例子:

Trivy 是一款镜像扫描软件,可用于检查漏洞。

➜  ~ trivy image registry.suse.com/bci/bci-base

2022-10-09T03:47:42.403+0200 INFO Need to update DB
2022-10-09T03:47:42.404+0200 INFO DB Repository: ghcr.io/aquasecurity/trivy-db
2022-10-09T03:47:42.404+0200 INFO Downloading DB...
34.35 MiB / 34.35 MiB [-------------------------------------------------------------------------------------------------------] 100.00% 23.13 MiB p/s 1.7s
2022-10-09T03:47:45.503+0200 INFO Vulnerability scanning is enabled
2022-10-09T03:47:45.503+0200 INFO Secret scanning is enabled
2022-10-09T03:47:45.503+0200 INFO If your scanning is slow, please try '--security-checks vuln' to disable secret scanning
2022-10-09T03:47:45.503+0200 INFO Please see also https://aquasecurity.github.io/trivy/v0.32/docs/secret/scanning/#recommendation for faster secret detection
2022-10-09T03:47:45.528+0200 INFO Detected OS: suse linux enterprise server
2022-10-09T03:47:45.528+0200 INFO Detecting SUSE vulnerabilities...
2022-10-09T03:47:45.528+0200 INFO Number of language-specific files: 0
registry.suse.com/bci/bci-base (suse linux enterprise server 15.4)
Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

bci-micro、bci-minimal、buxybox 和 init 上的结果也是一样的。

➜  ~ trivy image registry.suse.com/bci/bci-micro

[…]
2022-10-09T03:55:17.952+0200 INFO Detecting SUSE vulnerabilities...
2022-10-09T03:55:17.953+0200 INFO Number of language-specific files: 0
registry.suse.com/bci/bci-micro (SUSE Linux enterprise server 15.4)

Total: 0 (UNKNOWN: 0, LOW: 0, MEDIUM: 0, HIGH: 0, CRITICAL: 0)

重新分发

对于 ISV/IHV 软件,应用程序必须进行更多的重新分发。这里有两个问题:

  • EULA 协议:

    根据 BCI EULA,重新分发应用程序唯一的限制是第三方软件或与订阅绑定的资源,例如,私有仓库的包或基于许可证的硬件提供商。使用这些镜像开发的应用程序都会被重新分发。

  • 软件:

    BCI 带有一个仓库,你可以根据需要将包添加到镜像中,这样能增加自定义镜像的灵活性,同时让应用程序可以重新分发(不需要添加外部依赖项)。

仓库和工具

永恒的讨论:在满足开发人员需求和尽量让镜像小而简单之间的平衡点是什么?

在涉及企业级镜像以及开发人员体验的时候,安全性是一个主要问题。BCI 使用每个镜像都可以访问的仓库来提供工具、编译器和其他软件,从而解决这个问题。有了 Zypper,开发人员可以根据应用程序的需求在镜像安装包上增加一层。

你不需要手动添加仓库、查找包、检查和解决依赖项,或者依赖外部软件和包源。

这些仓库可以免费使用,而且 SUSE 会维护自己的包。

可用性

BCI 支持多种架构,包括 AArch64、ppc64le、s390x 和 x86_64,因此,无论你创建的是哪种类型的应用程序(边缘、物联网、传感器、设备、网页、微服务等),都可以轻松地将基础镜像集中在 BCI 上。

BCI 还为使用特定语言编写的应用程序提供基于语言的镜像,包括 Golang、Python、Rust、.NET、OpenJDK、NodeJS 等。

支持和生命周期

SUSE 设计了 BCI,而镜像通过企业级、ISV 和 IHV 的订阅获得商业支持。支持矩阵涵盖了 BCI 和语言包的基础,你可以在 BCI 镜像仓库查看支持详情:https://registry.suse.com/

BCI 也是一个开源项目,你可以查看它的实际开发状态,了解它们是如何针对不同架构进行构建的,以及查看其他相关信息。

这些镜像使用了 Open Build Service (OBS),每个人都可以使用 OBS。

  • SLE 15 SP4 的 BCI 开发项目:https://build.opensuse.org/project/show/devel:BCI:SLE-15-SP4

  • SLE 15 SP3 的 BCI 开发项目:https://build.opensuse.org/project/show/devel:BCI:SLE-15-SP3

结 论

除了镜像组合之外,你还有很多其他选择。SUSE 提供了以安全为中心的产品,同时也注重开发人员的体验。

BCI 提供了一个灵活的容器镜像生态系统,而且尽可能地减少占用空间。此外,我们还提供了一种灵活扩展镜像的机制,让开发者可以专注于应用程序本身。

通过订阅,ISV 和 IHV 可以利用他们的应用程序,为应用程序使用的基础镜像提供 SUSE 企业级支持。

由于 BCI 可以在支持矩阵内在任何类型的主机中部署和使用,因此重新分发是没有问题的,任何人都可以在不受更多限制的情况下访问镜像,构建和重新分发应用程序。

包仓库可以为开发人员提供灵活性,不会增加任何类型的限制。SUSE 作为一家行业领先的可靠厂商,会维护这些软件包以及包和镜像的集成。

如需了解更多信息,请查看以下资源:

  • BCI 文档:https://documentation.suse.com/smart/linux/html/concept-bci-get-started/index.html

  • 常见问题:https://mp.weixin.qq.com/s/o34G4nXplVrWPLxUtdi1AQ

  • SUSE 容器镜像:https://registry.suse.com

你可能感兴趣的:(云计算,rancher,kubernetes,k8s)