6.4. 再現可能なコンテナービルドの使用

手順

• Buildah コマンドを実行する際に、オプションを設定できます。たとえば、Containerfile からイメージを構築し、すべてのタイムスタンプを特定の時刻に強制的に設定するには、次のように指定します。

  Use a specific, immutable image.
  FROM registry.access.redhat.com/ubi10/ubi:10.0 AS builder
  
  # Set the SOURCE_DATE_EPOCH for deterministic timestamps
  ARG SOURCE_DATE_EPOCH
  ENV SOURCE_DATE_EPOCH=${SOURCE_DATE_EPOCH:-1}
  
  # Build the image using the build-arg and rewrite-timestamp options
  buildah bud --source-date-epoch=${SOURCE_DATE_EPOCH} \
    --rewrite-timestamp \
    -f Containerfile \
    -t my-reproducible-image .

• 一貫したタイムスタンプを使用して podman build コマンドを実行し、再現可能なイメージを作成します。

  # Set a consistent timestamp using the last Git commit date
  export SOURCE_DATE_EPOCH=$(git log -1 --pretty=%ct)

• 指定のタイムスタンプを使用してイメージをビルドします。

  podman build --source-date-epoch=${SOURCE_DATE_EPOCH} --rewrite-timestamp -t my-reproducible-app .

検証

• ビルド後、再現可能なコマンドを再度実行します。ビルドが実際に再現可能であれば、buildah inspect コマンドが同じイメージダイジェストを表示するはずです。

  buildah bud --source-date-epoch=${SOURCE_DATE_EPOCH} \ --rewrite-timestamp \ -f Containerfile \ -t my-reproducible-image-2 .

• ダイジェストを比較します。

  buildah inspect --format '{{.Digest}}' my-reproducible-image
  buildah inspect --format '{{.Digest}}' my-reproducible-image-2