来自MicroBadger的Ross Fairbanks从两个关于容器安全的视频里总结了几个针对dockerfile的安全调整，有助于构建更加安全的容器镜像。以下内容翻译自Ross的文章。
最近我观看了两个有关容器安全的演讲视频，其中一个视频的演讲者是来自Docker的Justin Cormack，另一个是来自Container Solutions的Adrian Mouat。我们已经遵循了很多安全方面的建议，不过仍然有改进的空间。所以，我们觉得是时候对我们的dockerfile来一次安全大调整。
官方镜像
我们是Alpine Linux镜像的忠实用户，因为相比于Debian或Ubuntu，它的体积更小，并且具有更小的可攻击表面。所以，我们使用官方的Alpine镜像作为其它镜像的基础。除此以外，官方镜像还有另一个好处——Docker有一个专门的团队在维护它，并一直遵循着最佳实践。
我们的主要开发语言是Go，不过有时候也会用Ruby来处理一些基于Web和脚本的任务。我们使用ruby:2.3-alpine作为这些镜像的基础。ruby:2.3-alpine的Ruby是从源代码安装的，并非来自Alpine包。通过语义化版本控制（Semantic Versioning），Ruby 2.3能够接收到来自Ruby核心团队的安全更新。同时，Docker团队会更新标签2.3-alpine。
如果不使用ruby:2.3-alpine，我们就要自己从源代码安装Ruby，并持续跟进Ruby新版本的发布情况，或者使用Alpine包，并持续检查Alpine包内是否有新的Ruby版本。
通知和Web钩子（Webhook）
从Ruby的例子可以看到，当底层的基础镜像接收到安全更新时，你的整个镜像也要跟着重新构建。这个时候，我们的MicroBadger通知系统可以帮我们完成一些事情。我们在Alpine和Ruby的官方镜像上使用了通知。我们会从Slack接收到我们所关心的公共镜像的变更通知。
当基础镜像发生变更时，我们还会利用通知来自动触发镜像的构建。Docker Hub也有这个功能，不过我们的通知可以用于任何支持Web钩子的系统，比如CI系统或安全扫描器。
非授权用户
容器和虚拟机之间的一个关键区别是容器与主机共享内核。在默认情况下，Docker容器运行在root用户下，这会导致泄露风险。因为如果容器遭到破坏，那么主机的root访问权限也会暴露。
使用非授权用户来运行容器可以降低这种风险。下面是一个有关Rails应用的例子：
# Create working directory. WORKDIR /app # Copy Rails app code into the image COPY . ./ # Create non privileged user, set ownership and change user RUN addgroup rails && adduser -D -G rails rails \ && chown -R rails:rails /app USER rails安全扫描
在容器注册中心运行安全扫描可以为我们带来额外的价值。除了存放镜像，镜像注册中心定期运行安全扫描可以帮助我们找出薄弱点。Docker为官方镜像和托管在Docker Cloud的私有镜像提供了安全扫描。
来自CoreOS的Clair也很不错，它是开源的，并被用于Quay.io的镜像注册中心安全扫描。Clair将支持Alpine，这是一个好消息，希望可以尽快在Quay上面看到它。还有其它一些扫描器，比如TwistLock和Aqua，它们都是付费产品。
经过Docker的安全扫描，我们可以得到一个干净的Go镜像。我们把一个二进制版本拷贝到镜像里，然后加入一个CA认证依赖，这样我们就可以建立HTTPS连接。我们的Rails应用会有更多的依赖，因为Ruby是解释型语言。我们需要为我们的应用安装所有的Ruby gem，同时需要为这些gem安装所有的操作系统依赖。
安全扫描会把扫描结果保存到libxml2和libxslt文件里。Nokogiri是XML和JSON解析器，在构建镜像时，它会依赖前面提到的两种文件。为了得到更好的性能，Nokogiri使用了编译过的C语言扩展，不过一旦安装完毕，就不再需要libxml2和libxslt文件了。
下面我们来移除构建依赖，这些命令有点复杂：
# Cache installing gems WORKDIR /tmp ADD Gemfile* /tmp/ # Update and install all of the required packages. # At the end, remove build packages and apk cache RUN apk update && apk upgrade && \ apk add --no-cache $RUBY_PACKAGES && \ apk add --no-cache --virtual build-deps $BUILD_PACKAGES && \ bundle install --jobs 20 --retry 5 && \ apk del build-deps