4장. 이미지 생성

다음 지침은 일반적으로 컨테이너 이미지를 생성할 때 적용되며, 이미지가 AWS의 Red Hat OpenShift Service에서 사용되는지 여부와 관계없이 독립적입니다.

이미지 재사용

가능한 경우 이미지는 FROM 문을 사용하는 적절한 업스트림 이미지를 기반으로 합니다. 이렇게 하면 이미지가 업데이트되는 경우 사용자가 직접 종속성을 업데이트할 필요 없이 이미지가 업스트림 이미지의 보안 수정 사항을 쉽게 찾을 수 있습니다.

또한 FROM 명령어에 태그 (예: rhel:rhel7)를 사용하여 해당 이미지의 기반이 되는 이미지 버전을 사용자에게 정확히 알려 주십시오. latest 이외의 태그를 사용하면 손상을 유발하는 변경사항이 이미지에 적용되어 latest 버전의 업스트림 이미지에 포함되는 일이 없습니다.

태그 내에서 호환성 유지보수

자체 이미지를 태그하는 경우 태그 내에서 이전 버전과의 호환성을 유지보수합니다. 예를 들어 image 라는 이미지를 제공하고 현재 버전 1.0 이 포함된 경우 image:v1 태그를 제공할 수 있습니다. 이미지를 업데이트하면 원래 이미지와 계속 호환되는 한 새 이미지 이미지 ( v1 ) 및 이 태그의 다운스트림 소비자는 손상 없이 업데이트를 가져올 수 있습니다.

나중에 호환되지 않는 업데이트를 릴리스하는 경우 새 태그(예: image:v2 )로 전환합니다. 이렇게 하면 다운스트림 사용자가 마음대로 새 버전으로 이동하면서도 호환되지 않는 새 이미지로 인해 의도치 않게 손상되는 일이 없게 할 수 있습니다. image:latest 를 사용하는 모든 다운스트림 사용자는 호환되지 않는 변경 사항이 도입될 위험이 있습니다.

여러 프로세스 방지

하나의 컨테이너에서 데이터베이스 및 SSHD 같은 서비스를 여러 개 시작하지 마십시오. 컨테이너는 간단하며 쉽게 서로 연결하여 여러 프로세스를 오케스트레이션할 수 있으므로 그렇게 할 필요가 없습니다. AWS의 Red Hat OpenShift Service를 사용하면 관련 이미지를 단일 Pod로 그룹화하여 쉽게 공동 배치 및 공동 관리할 수 있습니다.

컨테이너는 이러한 공동 배치를 통해 통신에 필요한 네트워크 네임스페이스 및 스토리지를 공유할 수 있습니다. 각 이미지를 덜 자주, 독립적으로 업데이트할 수 있으므로 업데이트에서도 중단이 덜 발생합니다. 생성된 프로세스에 대한 라우팅 신호를 관리할 필요가 없으므로 단일 프로세스를 사용하면 신호 처리 흐름이 더욱 명확해집니다.

래퍼 스크립트에 exec 사용

많은 이미지에서는 소프트웨어 실행을 위한 프로세스를 시작하기 전에 래퍼 스크립트를 사용하여 설정을 수행합니다. 이미지에서 이러한 스크립트를 사용하는 경우 해당 스크립트는 exec를 사용하여 소프트웨어가 스크립트 프로세스를 교체하도록 합니다. exec를 사용하지 않으면 컨테이너 런타임에서 보낸 신호가 소프트웨어 프로세스가 아닌 래퍼 스크립트로 갑니다. 이는 원하는 작동이 아닙니다.

어떤 서버의 프로세스를 시작하는 래퍼 스크립트가 있는 경우입니다. 예를 들어 podman run -i를 사용하여 컨테이너를 시작하여 래퍼 스크립트를 실행하면 프로세스가 시작됩니다. CTRL+C 를 사용하여 컨테이너를 종료하려면 다음을 수행합니다. 래퍼 스크립트에서 exec를 사용하여 서버 프로세스를 시작한 경우 podman 은 SIGINT를 서버 프로세스로 보내며 모든 작업이 예상대로 수행됩니다. 래퍼 스크립트에서 exec를 사용하지 않은 경우 podman은 래퍼 스크립트의 프로세스로 SIGINT를 보내며 프로세스는 아무 일도 없던 것처럼 계속 실행됩니다.

또한 프로세스는 컨테이너에서 실행되는 경우 PID 1로 실행됩니다. 즉, 기본 프로세스가 종료되면 전체 컨테이너가 중지되어 PID 1 프로세스에서 시작한 하위 프로세스가 모두 취소됩니다.

임시 파일 정리

빌드 프로세스 중에 생성한 임시 파일을 모두 제거합니다. 이러한 파일에는 ADD 명령으로 추가된 파일도 포함됩니다. 예를 들어 yum install 작업을 수행한 후에는 yum clean 명령을 실행합니다.

다음과 같이 RUN 문을 생성하면 yum 캐시가 이미지 계층에 생성되는 것을 방지할 수 있습니다.

RUN yum -y install mypackage && yum -y install myotherpackage && yum clean all -y

이 문을 다음과 같이 작성할 수도 있습니다.

RUN yum -y install mypackage
RUN yum -y install myotherpackage && yum clean all -y

그러면 첫 번째 yum 호출에서 해당 계층에 추가 파일을 남기는데 나중에 yum clean 작업을 실행해도 해당 파일을 제거할 수 없습니다. 추가 파일이 최종 이미지에 표시되지 않아도 기본 계층에 남아 있습니다.

현재 컨테이너 빌드 프로세스에서는 이전 계층에서 어떤 항목을 제거한 경우에도 이후 계층에서 명령을 실행하여 이미지가 사용하는 공간을 줄일 수 없습니다. 향후에는 변경될 수도 있습니다. 즉, 이후 계층에서 rm 명령을 수행하는 경우 파일이 숨겨져 있어도 다운로드할 이미지의 전체 크기가 줄어들지 않습니다. 따라서 yum clean 예에서처럼 가능한 경우 파일을 생성한 명령과 동일한 명령에서 파일을 제거하여 계층에 쓰이지 않도록 하는 것이 가장 좋습니다.

또한 단일 RUN 문에서 여러 명령을 수행하면 이미지의 계층 수가 줄어들어 다운로드 및 추출 시간이 단축됩니다.

적절한 순서로 명령어 배치

컨테이너 빌더에서는 Dockerfile을 읽고 맨 위부터 아래로 명령어를 실행합니다. 성공적으로 실행되는 모든 명령은 다음에 이 이미지 또는 다른 이미지가 빌드될 때 재사용할 수 있는 계층을 생성합니다. Dockerfile의 맨 위에는 거의 변경되지 않을 명령어를 배치하는 것이 매우 중요합니다. 이렇게 하면 상위 계층 변경에 의해 캐시가 무효화되지 않으므로 다음에 동일한 이미지를 매우 빠르게 빌드할 수 있습니다.

예를 들어 반복할 파일을 설치하는 ADD 명령과 패키지를 yum install하는 RUN 명령이 포함된 Dockerfile에서 작업하는 경우 다음과 같이 ADD 명령을 마지막에 배치하는 것이 가장 좋습니다.

FROM foo
RUN yum -y install mypackage && yum clean all -y
ADD myfile /test/myfile

이렇게 하면 myfile을 편집하고 podman build 또는 docker build를 다시 실행할 때마다 시스템은 yum 명령에는 캐시된 계층을 재사용하고 ADD 작업에서만 새 계층을 생성합니다.

그러지 않고 다음과 같이 Dockerfile을 작성할 수 있습니다.

FROM foo
ADD myfile /test/myfile
RUN yum -y install mypackage && yum clean all -y

그러면 myfile을 변경하고 podman build 또는 docker build를 다시 실행할 때마다 ADD 작업으로 RUN 계층 캐시가 무효화되어 yum 작업도 다시 실행해야 합니다.

중요한 포트 표시

EXPOSE 명령어는 컨테이너의 포트를 호스트 시스템 및 다른 컨테이너에서 사용할 수 있도록 합니다. podman run 호출을 통해 포트가 노출되도록 지정할 수 있으나 Dockerfile에 EXPOSE 명령어를 사용하면 소프트웨어를 실행하는 데 필요한 포트를 명시적으로 선언하여 사용자 및 소프트웨어 둘 다 더욱 쉽게 이미지를 사용할 수 있습니다.

환경 변수 설정

ENV 명령어로 환경 변수를 설정하는 것이 좋습니다. 한 예로 프로젝트 버전 설정이 있습니다. 이렇게 하면 사용자가 Dockerfile을 보지 않고도 쉽게 버전을 찾을 수 있습니다. 또 다른 예로는 JAVA_HOME 같은 다른 프로세스에서 사용할 수 있는 시스템의 경로 알림이 있습니다.

기본 암호 설정 방지

기본 암호를 설정하지 않도록 합니다. 많은 사용자가 이미지를 확장한 후 기본 암호를 제거하거나 변경하는 것을 잊어 버립니다. 이렇게 되면 프로덕션 단계의 사용자에게 잘 알려진 암호가 할당되는 경우 보안 문제로 이어질 수 있습니다. 암호는 환경 변수를 사용하여 구성할 수 있습니다.

기본 암호를 설정하도록 선택하는 경우 컨테이너가 시작될 때 적절한 경고 메시지가 표시되도록 해야 합니다. 이 메시지에서는 사용자에게 기본 암호 값을 알려주고 설정할 환경 변수와 같은 암호 변경 방법을 설명해야 합니다.

sshd 실행 방지

이미지에서는 sshd를 실행하지 않는 것이 가장 좋습니다. podman exec 또는 docker exec 명령을 사용하여 로컬 호스트에서 실행 중인 컨테이너에 액세스할 수 있습니다. 또는 oc exec 명령 또는 oc rsh 명령을 사용하여 AWS 클러스터의 Red Hat OpenShift Service에서 실행 중인 컨테이너에 액세스할 수 있습니다. 이미지에서 sshd를 설치하고 실행하면 추가적인 공격 벡터와 보안 패치 요구 사항이 발생합니다.

영구 데이터 볼륨 사용

이미지에서는 영구 데이터 볼륨을 사용합니다. 이렇게 하면 AWS의 Red Hat OpenShift Service가 컨테이너를 실행하는 노드에 네트워크 스토리지를 마운트하고 컨테이너가 새 노드로 이동하면 해당 노드에 스토리지가 다시 연결됩니다. 모든 영구 스토리지 요구에 이 볼륨을 사용하면 컨테이너를 다시 시작하거나 이동해도 콘텐츠가 보존됩니다. 이미지가 컨테이너 내 임의의 위치에 데이터를 쓰는 경우 해당 콘텐츠를 보존할 수 없습니다.

컨테이너가 삭제된 후에도 보존해야 하는 데이터는 모두 볼륨에 써야 합니다. 컨테이너 엔진은 컨테이너의 ephemeral 스토리지에 데이터를 쓰지 않는 모범 사례를 엄격하게 적용하기 위해 사용할 수 있는 readonly 플래그를 컨테이너에서 지원합니다. 지금 이 기능을 기반으로 이미지를 설계하면 나중에 더욱 쉽게 이미지를 활용할 수 있습니다.

Dockerfile에서 명시적으로 볼륨을 정의하면 이미지 사용자가 이미지를 실행할 때 정의해야 하는 볼륨을 쉽게 파악할 수 있습니다.

AWS의 Red Hat OpenShift Service에서 볼륨을 사용하는 방법에 대한 자세한 내용은 Kubernetes 문서를 참조하십시오.

다음은 특히 AWS의 Red Hat OpenShift Service에서 사용할 컨테이너 이미지를 생성할 때 적용되는 지침입니다.

RUN chgrp -R 0 /some/directory && \
    chmod -R g=u /some/directory