Die Kombination von Distroless und Ubuntu Ultraleichte „Chiseled Ubuntu“-Container

Anbieter zum Thema

Kentix GmbH

Data Center Group – Büro Köln

EPS Rechenzentrum Infrastruktur GmbH

Für den Betrieb eigenständiger .NET-Anwendungen gibt es mit „chiselled Ubuntu“ kleine Container-Images von Canonical Ubuntu. Das Ubuntu-Basis-Image wurde hierfür um das 15-fache auf sechs Megabyte verkleinert. Was ist die Idee hinter diesen Distroless-Container-Images? Welche Vorteile bieten sie?

Container-Images sind weit verbreitet. Entwickler und Entwicklerinnen können damit eine Anwendung und ihre Abhängigkeiten einfach in eine in sich geschlossene Einheit zu verpacken, die mit jeder Plattform kompatibel ist, die den OCI-Standard unterstützt.

Zu diesen Plattformen gehören z. B. Docker, Kubernetes oder eine der 17 Möglichkeiten, Container auf AWS auszuführen. Container-Images erleichtern es ungemein, Anwendungen in einer konsistenten Umgebung zu verpacken und auszuführen, ohne sich um Unterschiede im Host-Betriebssystem oder in der Laufzeitumgebung kümmern zu müssen.

Distroless-Container-Images sind extrem klein und enthalten nur eine Anwendung und ihre Laufzeitabhängigkeiten ohne zusätzliche Bibliotheken oder Dienstprogramme aus einer Linux-Distribution. Dadurch werden sie kleiner und sicherer als herkömmliche Container-Images.

Die enthalten oft viele Bibliotheken und Dienstprogramme, die von der Anwendung nicht benötigt werden. Insbesondere haben traditionelle Images oft einen Paketmanager und eine Shell, die ihnen ihr „Look and Feel“ verleihen. Man könnte sie als „distro-full“ bezeichnen.

Minimal und mächtig: die Vorteile von Distroless Container-Images

Kleinere Container-Images haben de facto eine kleinere Angriffsfläche. Das verringert die Wahrscheinlichkeit, dass sie ungepatchte Sicherheitslücken enthalten, die Angreifer ausnutzen könnten.

Dieser probabilistische Ansatz, also einer, der lediglich die Wahrscheinlichkeit in den Blick nimmt, ist schön und gut. Man darf aber nicht außer Acht lassen, zu beurteilen, wie gut der verbleibende Inhalt gewartet wird. Ein großes Image ohne CVEs und mit regelmäßigen Sicherheitsupdates ist sicherer als ein sehr kleines, instabiles und ungepflegtes Image.

Die Sicherheit einer containerisierten Anwendung hängt von verschiedenen Faktoren ab, unter anderem davon, wie sie konzipiert und bereitgestellt und wie sie im Laufe der Zeit gewartet und aktualisiert wird. Eine gut gewartete und unterstützte Linux-Distribution wie Ubuntu kann dazu beitragen, die Sicherheit von containerisierten Anwendungen zu verbessern.

Kleinere Container-Images können zudem dabei helfen, Zeit und Ressourcen zu sparen. Dies gilt insbesondere in Umgebungen mit begrenzter Speicherkapazität oder wenn viele Container-Images verwendet werden.

Das Beste aus beiden Welten: Einführung von Chiselled-Ubuntu-Container-Images

Chiselled Ubuntu ist eine Variante der Distroless-Container-Images, die aus den Paketen der Ubuntu-Distribution erstellt werden. Sie werden mit Bedacht so entwickelt, dass sie die minimal erforderlichen Abhängigkeiten berücksichtigen.

Erstellt werden sie mit einem entwicklerfreundlichen Paketmanager namens „Chisel“, der ausschließlich hierfür verwendet und nicht mit dem endgültigen Image ausgeliefert wird. Dadurch sind die Abbilder kleiner und sicherer als traditionelle Ubuntu-Container-Images, die oft viele zusätzliche Bibliotheken und Dienstprogramme enthalten.

„Chiselled Ubuntu“-Images übernehmen die Vorteile der Ubuntu-Distribution: Sie werden regelmäßig aktualisiert und unterstützt und bieten eine zuverlässige und sichere Plattform für die Erstellung und den Betrieb von Anwendungen. Auf der anderen Seite unterdrücken sie die Nachteile der Verwendung eines „distro-full“ Images bei der Auslieferung an die Produktion.

Der Begriff Chiselled-Ubuntu-Image stellt eine Analogie zum Meißeln her, ins Deutsche übersetzt würde es ziselierte Ubuntu-Images heißen. Es gibt ein berühmtes Zitat von Michelangelo, das hier gut passt: „Die Skulptur ist bereits im Marmorblock vollständig, bevor ich mit meiner Arbeit beginne. Sie ist schon da, ich muss nur noch das überflüssige Material wegmeißeln.“

„Breaking the Chisel“ – wie Chisel funktioniert

Chisel verwendet eine offene Datenbank von Paket-Scheiben (Package Slices). Sie löst die Debian-Paketdatenbank (mit ihren spezifischen Datei-Teilmengen und bearbeiteten Betreuer-Skripten zum Erstellen von ultra-kleinen Laufzeit-Dateisystemen) ab.

Chisel ist eine Art „from-scratch package manager“, der partielle Dateisysteme erstellt, die nur für die beabsichtigten Anwendungsfälle funktionieren. Die in einem Package Slice enthaltenen Informationen sind das, was Image-Entwickler gewöhnlich manuell beim Definieren eines Images machen mussten, um Distroless-artiges Image zu entwerfen. Mit Chisel können Community-Entwickler dieses Wissen nun einfach und mühelos wiederverwenden.

Chiselled Ubuntu-Container-Images sind neuartig und bringen viele Vorteile, darunter eine konsistente und kompatible Entwicklererfahrung. Es handelt sich dabei um kleine Teile derselben Bibliotheken und Dienstprogramme der regulären Ubuntu-Distribution. Das macht es einfach, von der Verwendung von Ubuntu in der Entwicklung auf die Verwendung von Chiselled Ubuntu in der Produktion umzusteigen. Multi-Stage-Builds funktionieren daher nahtlos mit diesen ultra-leichtgewichtigen Ubuntu-Images.

Nächste Schritte: So erstellt man eigene Basis-Container-Images

Chiselled-Ubuntu-Container-Images kombinieren die Vorteile von Distroless-Containern mit denen von Ubuntu, um kleinere, sicherere und einfacher zu verwendende Container zu erstellen. Dieser Beitrag befasst sich mit Distroless Containern und dem Konzept der Chiselled Ubuntu-Images. Demnächst folgt ein Tutorial, das Schritt für Schritt aufzeigt, wie man Chiselled Ubuntu-Basis-Container-Images für spezielle Einsatzzwecke erstellen kann.

* Valentin Viennot ist Product Manager bei Canonical.

(ID:49315491)