最小或無發行版映象

最小映象，有時稱為無發行版映象，是剝離了不必要元件（如包管理器、shell 甚至底層作業系統發行版）的容器映象。Docker 強化映象 (DHI) 採用這種最小化方法來減少漏洞並強制實施安全的軟體交付。Docker 官方映象和Docker 驗證釋出者映象遵循類似的最小化和安全最佳實踐，但可能不會像無發行版映象那樣精簡，以確保與更廣泛的使用場景相容。

什麼是最小或無發行版映象？

傳統的容器映象包含一個完整的作業系統，通常超出了執行應用程式所需的範圍。相比之下，最小或無發行版映象僅包含

應用程式二進位制檔案
其執行時依賴項（例如 libc、Java、Python）
任何明確要求的配置或元資料

它們通常排除

作業系統工具（例如 ls、ps、cat）
Shell（例如 sh、bash）
包管理器（例如 apt、apk）
除錯工具（例如 curl、wget、strace）

Docker 強化映象基於此模型，確保更小、更安全的執行時表面。

您將獲得的好處

益處	描述
更小的攻擊面	更少的元件意味著更少的漏洞和更少的 CVE 暴露
更快的啟動速度	更小的映象大小可縮短拉取和啟動時間
提高安全性	缺少 shell 和包管理器限制了攻擊者在受到威脅時可以執行的操作
更好的合規性	更易於審計和驗證，尤其是透過 SBOM 和證明

解決常見的權衡

最小和無發行版映象提供了強大的安全優勢，但它們可以改變您使用容器的方式。Docker 強化映象旨在在增強安全性的同時保持生產力。

顧慮	Docker 強化映象如何提供幫助
可除錯性	強化映象預設排除 shell 和 CLI 工具。使用Docker Debug暫時附加除錯邊車以進行故障排除，而無需修改原始容器。
熟悉度	DHI 支援多個基礎映象，包括 Alpine 和 Debian 變體，因此您可以選擇熟悉的環境，同時仍受益於強化實踐。
靈活性	執行時不變性有助於保護您的容器。使用多階段構建和 CI/CD 來控制更改，並可選擇在開發過程中使用面向開發的基礎映象。

透過平衡最小化與實用工具，Docker 強化映象支援現代開發工作流，而不會影響安全性或可靠性。

使用最小映象的最佳實踐

使用多階段構建來分離構建時和執行時環境
使用 CI 管道驗證映象行為，而不是互動式檢查
在 Dockerfile 中明確包含執行時特定依賴項
使用 Docker Scout 持續監控 CVE，即使在最小映象中也是如此

透過 Docker 強化映象採用最小或無發行版映象，您將獲得一個更安全、更可預測、更適合生產的容器環境，該環境專為自動化、清晰度和降低風險而設計。