6.4. 再現可能なコンテナービルドの使用

手順

• Buildah コマンドの実行時にこれらのオプションを設定します。たとえば、Containerfile からイメージをビルドし、すべてのタイムスタンプを特定の時間に強制するには、以下を実行します。

  Use a specific, immutable image.
  FROM registry.access.redhat.com/ubi9/ubi:9.4 AS builder
  
  # Set the SOURCE_DATE_EPOCH for deterministic timestamps
  ARG SOURCE_DATE_EPOCH
  ENV SOURCE_DATE_EPOCH=${SOURCE_DATE_EPOCH:-1}
  
  # Build the image using the build-arg and rewrite-timestamp options
  buildah bud --build-arg --source-date-epoch=${SOURCE_DATE_EPOCH} \
    --rewrite-timestamp \
    -f Containerfile \
    -t my-reproducible-image .

• 一貫性のあるタイムスタンプを指定して podman build コマンドを実行し、再現可能なイメージを作成します。

  # Set a consistent timestamp using the last Git commit date
  export SOURCE_DATE_EPOCH=$(git log -1 --pretty=%ct)

• 指定のタイムスタンプでイメージをビルドします。

  podman build --source-date-epoch=${SOURCE_DATE_EPOCH} --rewrite-timestamp -t my-reproducible-app .

検証

• ビルド後に、再現可能なコマンドを再度実行します。ビルドが完全に再現可能な場合は、buildah inspect コマンドに同じイメージダイジェストが表示されるはずです。

  buildah bud --build-arg --source-date-epoch=${SOURCE_DATE_EPOCH} \ --rewrite-timestamp \ -f Containerfile \ -t my-reproducible-image-2 .

• ダイジェストを比較します。

  buildah inspect --format '{{.Digest}}' my-reproducible-image
  buildah inspect --format '{{.Digest}}' my-reproducible-image-2