检测 Kubernetes Pod 中基础容器版本的方法

112次阅读

问题描述

在 Kubernetes 中，有一个需求是要检测运行在 Pod 中的基础容器镜像是否已经过时。假设我们有一个名为 WidgetOrdering 的应用，其 Dockerfile 中引用了 .Net 6 runtime 的基础容器镜像，并在此基础上构建了自己的应用容器。随着时间的推移，.Net 6 可能会发布带有安全补丁的新版本。因此，我们需要知道集群中正在运行的 .Net 6 容器镜像的版本，以便进行更新。

解决方案

方法1：通过持续集成 (CI) 流水线进行检测和更新
通常在 Kubernetes 中，不会直接进行这种类型的检测。相反，可以在持续集成 (CI) 流水线中实现此功能，或者通过扫描镜像仓库中的镜像来实现。在 CI 流水线中，一个简单的方法是定期重新构建并重新部署镜像，以便按计划更新镜像。这不仅可以捕捉基础镜像的变化，还可以捕捉自上次构建以来的任何其他外部依赖项的变化。

方法2：检查镜像仓库中的元数据
要检查镜像是否基于过时的基础镜像，可以查看镜像仓库中的元数据。OCI (Open Container Initiative) 定义了一些标准注释（annotations）来支持这种需求。具体来说，你可以查看镜像的 org.opencontainers.image.base.digest 和 org.opencontainers.image.base.name 注释，它们分别表示镜像基于哪个基础镜像的摘要和名称。

以下是一个示例命令来查看镜像基于的基础镜像版本：

$ regctl manifest get ghcr.io/regclient/regctl:alpine --format '{{jsonPretty .Annotations}}'
{
  "oci.opencontainers.image.base.digest": "sha256:124c7d2707904eea7431fffe91522a01e5a861a624ee31d03372cc1d138a3126",
  "oci.opencontainers.image.base.name": "alpine:3",
  "oci.opencontainers.image.created": "2023-04-14T23:41:20Z",
  "oci.opencontainers.image.revision": "847254c7ac7d6f027dcdfb196a9aa4c11eb61ed9",
  "oci.opencontainers.image.source": "https://github.com/regclient/regclient.git"
}

上述示例中，我们可以看到镜像基于 alpine:3 版本构建，摘要为 sha256:124c7d2707904eea7431fffe91522a01e5a861a624ee31d03372cc1d138a3126。但需要注意的是，大多数镜像构建工具并不会自动添加这些元数据。你需要在构建过程中手动添加这些元数据。

对于自动添加这些元数据的实例，你可以参考具体项目的构建配置，例如 Github Actions 中的配置文件。

注意：
1. 在使用这种方法时，请确保你的镜像仓库支持并已经添加了上述的 OCI 标准注释。
2. 在检测和更新基础镜像版本时，要确保适当的备份和测试，以免影响到应用的稳定性和可用性。

这些方法可以帮助你检测运行在 Kubernetes Pod 中的基础容器版本是否过时，从而帮助你进行及时的镜像更新。

正文完