Уменьшение образов с помощью многоэтапной сборки

Раздутый образ медленно отправляется, загружается и запускается, а также содержит больше компонентов для обновления. Многоэтапные сборки включают только действительно необходимые компоненты.

Используйте один этап для сборки, а второй, чистый этап — для запуска. Инструменты сборки остаются в первом этапе, поэтому итоговый образ получается небольшим.

Добавьте AS builder в строку FROM, чтобы назвать этап. Позже Вы сможете ссылаться на это имя и извлекать из этапа файлы.

На этапе сборки установите зависимости в известный префикс. Флаг --user аккуратно помещает всё в одну папку, которую можно скопировать.

Создайте новый минимальный этап только для того, что действительно запускается. В нём нет компиляторов и кэшей, необходимых сборочному этапу.

Используйте COPY --from=builder, чтобы перенести в этап выполнения только установленные пакеты. Тяжёлый слой сборки останется позади.

Также скопируйте исходный код приложения в минимальный этап. Теперь итоговый образ содержит Ваш код и только его зависимости для выполнения.

Пакеты, установленные пользователем, находятся в .local, поэтому добавьте этот каталог в PATH. Иначе среда выполнения не найдёт установленные команды.

Docker сохраняет в образе только последний этап. Всё из предыдущих этапов отбрасывается, если Вы явно не скопировали это.

Для самого маленького и безопасного результата используйте базовый образ distroless без оболочки и менеджера пакетов. Меньшая поверхность атаки означает меньше возможностей для эксплуатации.

Проверьте уменьшение размера с помощью docker images. Сокращение образа с более чем одного гигабайта до пары сотен мегабайт — обычный и полезный результат.

Вы отделили сборку от выполнения, скопировали только артефакты с помощью COPY --from, исправили PATH и уменьшили образ. Компактно и быстро. ✅