Рекомендации для образов рабочего окружения

Образ для рабочей среды должен быть компактным и безопасным. Компактный образ быстрее передаётся и запускается, а злоумышленникам доступно меньше потенциальных целей. 🛡️

При multi-stage-сборке зависимости компилируются на одном этапе, а в чистый итоговый образ копируются только результаты.

Из этапа сборки с помощью COPY --from копируйте только установленные пакеты, оставляя компиляторы и ненужные файлы сборки.

Создайте пользователя без прав root с помощью USER, чтобы скомпрометированный процесс не мог свободно изменять контейнер или хост.

Указывайте точные версии в requirements.txt, чтобы сборки были воспроизводимыми и не ломались из-за неожиданного обновления.

Передавайте секреты через переменные environment во время выполнения, никогда не встраивайте ключи или пароли непосредственно в образ.

HEALTHCHECK позволяет оркестратору узнать, действительно ли ваш контейнер работает и обслуживает запросы.

Всегда запускайте рабочую среду с DEBUG=False, чтобы страницы ошибок не раскрывали пользователям код, настройки или трассировки стека.

Помечайте образы настоящей версией, а не только тегом latest, чтобы всегда точно знать, что развернуто, и иметь возможность отката.

Выполняйте проверку собранного образа, чтобы заранее обнаружить известные уязвимости в базовом образе и зависимостях.

Размещайте редко изменяющиеся шаги в начале, а код — в конце, чтобы при большинстве пересборок повторно использовать кэшированные слои и завершать сборку быстро.

Вы повысили безопасность образа: multi-stage-сборки, пользователь без прав root, зафиксированные версии, секреты во время выполнения, проверки работоспособности и отключённый DEBUG. Всё готово для рабочей среды! 🏁