# 使用 Clair 扫描镜像
$ docker run -d –name clair-db arminc/clair-db:latest
$ docker run -p 6060:6060 –link clair-db:postgres -d –name clair arminc/clair-local-scan:latest
$ docker run –rm –link clair:clair -v /var/run/docker.sock:/var/run/docker.sock arminc/clair-scanner:latest -c http://clair:6060 –ip $(hostname -i) my-nginx:1.0

# 创建非root用户
RUN adduser -D -u 1000 appuser

# 切换到非root用户
USER appuser

# 设置工作目录
WORKDIR /app

# 复制文件
COPY –chown=appuser:appuser . .

# 启动命令
CMD [“./app”]

学习交流加群风哥QQ113257174

8. 镜像生命周期管理

8.1 镜像清理

# 删除未使用的镜像
$ docker image prune

# 删除所有未使用的镜像（包括悬空镜像）
$ docker image prune -a

# 删除特定镜像
$ docker rmi my-nginx:1.0

# 清理所有未使用的资源
$ docker system prune

# 导入镜像
$ docker load -i my-nginx.tar

# 推送镜像到仓库（作为备份）
$ docker push username/my-nginx:1.0

on:
push:
branches: [ main ]
pull_request:
branches: [ main ]

jobs:
build:
runs-on: ubuntu-latest
steps:
– uses: actions/checkout@v2
– name: Build the Docker image
run: docker build . –file Dockerfile –tag my-nginx:${{ github.sha }}
– name: Scan the Docker image
run: docker run –rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image my-nginx:${{ github.sha }}
– name: Push the Docker image
if: github.event_name == ‘push’ && github.ref == ‘refs/heads/main’
run: |
echo ${{ secrets.DOCKER_PASSWORD }} | docker login -u ${{ secrets.DOCKER_USERNAME }} –password-stdin
docker tag my-nginx:${{ github.sha }} username/my-nginx:${{ github.sha }}
docker tag my-nginx:${{ github.sha }} username/my-nginx:latest
docker push username/my-nginx:${{ github.sha }}
docker push username/my-nginx:latest

build:
stage: build
script:
– docker build -t my-nginx:${CI_COMMIT_SHORT_SHA} .

test:
stage: test
script:
– docker run –rm my-nginx:${CI_COMMIT_SHORT_SHA} npm test

scan:
stage: scan
script:
– docker run –rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image my-nginx:${CI_COMMIT_SHORT_SHA}

push:
stage: push
script:
– docker tag my-nginx:${CI_COMMIT_SHORT_SHA} username/my-nginx:${CI_COMMIT_SHORT_SHA}
– docker tag my-nginx:${CI_COMMIT_SHORT_SHA} username/my-nginx:latest
– echo $DOCKER_PASSWORD | docker login -u $DOCKER_USERNAME –password-stdin
– docker push username/my-nginx:${CI_COMMIT_SHORT_SHA}
– docker push username/my-nginx:latest
only:
– master

更多学习教程www.fgedu.net.cn

10. 最佳实践

10.1 镜像管理最佳实践

• 使用多阶段构建减小镜像大小
• 使用官方基础镜像并定期更新
• 为镜像添加明确的标签
• 定期扫描镜像安全漏洞
• 使用非root用户运行容器
• 清理未使用的镜像

10.2 镜像仓库最佳实践

• 使用私有镜像仓库存储敏感镜像
• 实施镜像仓库访问控制
• 定期备份镜像仓库
• 设置镜像仓库清理策略
• 使用镜像签名确保镜像完整性

10.3 CI/CD集成最佳实践

• 在CI/CD流程中添加镜像扫描
• 为每个构建添加唯一标签
• 实施镜像版本控制
• 自动化镜像推送和部署
• 设置镜像构建缓存

10.4 生产环境最佳实践

• 避免使用latest标签
• 使用固定版本的镜像
• 实施镜像拉取策略
• 监控镜像使用情况
• 建立镜像回滚机制