容器化 | 使用 Alpine 构建 Redis 镜像

玛卡巴卡的卡巴卡玛  金牌会员 | 2022-9-16 17:23:07 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 919|帖子 919|积分 2757

上一期我们介绍了几种常见的构建镜像方式，并给出了功能对比、决策树等作为选型参考。本期我们将演示如何使用 Alpine 构建一个 Redis 镜像。
Alpine 系统使用 apk 包管理工具，文中相关 apk 使用技巧不再赘述。
我们将构建镜像 Dockerfile 中的几个部分单独讲解，最后提供一个完整的 Demo。重点在如何使用 Alpine，Redis 镜像构建步骤此文不详细介绍。
文章大纲：

  • 更换镜像源
  • 构建镜像所需软件
  • 启动服务
  • 调整时区
  • 包含 1- 4  的完整镜像构建 Demo
更换镜像源

首先，为了在本地更流畅的部署，可以更换更流畅的镜像源。我们这里将 apk 的软件包镜像源修改为中科大镜像源。
  1. RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.ustc.edu.cn/g' /etc/apk/repositories
复制代码
构建镜像所需软件

构建镜像时，只一些只有构建时才需要的文件/软件。比如 gcc 只有编译时候才会用到；wget 用于下载文件；传统 yum/apt 需要用完后手动卸载软件和依赖，还要自己清理临时文件。而 Alpine 的 apk 可以用起来更方便。

  • --no-cache:不使用缓存目录缓存，装完也不保留缓存。
  • --virtual .build-deps:不真实安装，将软件安装到虚拟包 .build-deps 中，方便 del 时一口气卸载所有包。
  • --no-network:不使用网络。
  1. RUN set -eux; \
  2.     \
  3.     apk add --no-cache --virtual .build-deps \
  4.         coreutils \
  5.         wget \
  6.         dpkg-dev dpkg \
  7.         gcc \
  8.         linux-headers \
  9.         make \
  10.         musl-dev \
  11.         openssl-dev ;\
  12.     #########################################
  13.     #
  14.     #  构建部分
  15.     #
  16.     #########################################
  17.     apk del --no-network .build-deps;
复制代码
启动服务

通常我们启动镜像前需要使用 shell 调整下启动状态，做准备。比如：生成配置文件，检查路径挂载等等。然后再拉起服务，但会遇到两个问题：

  • 普通用户权限不够，必须启动 root ，但使用 root 启动服务又不安全。
  • 使用 shell 启动进程会导致 shell 进程本身 PID 为 1。而我们所启动服务 PID 不是 1，这就会导致服务本身接收不到 SIGTERM 信号而正常关闭。
解决方案


  • 使用su-exec 指定特定权限。

    • 这需要使用 apk 命令安装，下面有示例。
    • 需要提前创建好相应账号。

  • 使用 exec 命令将启动的服务进程替换当前进程，从而将 PID=1 传递给服务进程。
说明: 这里使用 su-exec 而不使用 sudo 的原因是传统 sudo 会新创建出一个进程运行服务，导致 PID 不能为 1，进而导致无法接收到 signal 信号而正常关闭服务。
示例

Dockerfile 内容如下：
  1. FROM alpine:3.16
  2. # 创建用户
  3. RUN addgroup -S -g 1000 redis && adduser -S -G redis -u 999 redis
  4. # 安装 su-exec 命令
  5. RUN apk add --no-cache 'su-exec>=0.2'
  7. ############################################################
  8. #
  9. # 其它部署 内容
  10. #
  11. ############################################################
  12.  
  13. ENTRYPOINT ["/usr/bin/entrypoint.sh"]
复制代码
/usr/bin/entrypoint.sh 内容如下：
  1. #!/bin/sh
  2. set -e
  3.  
  4. ############################################################
  5. #
  6. # 启动准备脚本内容
  7. #
  8. ############################################################
  9.  
  10. # 最终启动命令
  11. exec su-exec redis redis-server "$@"
复制代码
调整时区

由于 Alpine 系统的时区是 UTC，作者需要设置为上海。可以用如下方式调整时区。
  1. RUN apk add --no-cache tzdata ;\
  2.     cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
复制代码
如果对镜像精简要求比较高，可以调整时区后，删除时区软件包，这也会导致以后很难再修改时区。
  1. RUN apk add --no-cache --virtual .build-tzdata tzdata ; \
  2.     cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime ;\
  3.     apk del .build-tzdata;
复制代码
完整 Demo

我们将以上部分整理为一个完整的 Redis 镜像构建 Demo （Redis 版本 6.2.7）。
Dockerfile 文件
  1. FROM alpine:3.16
  3. RUN addgroup -S -g 1000 redis && adduser -S -G redis -u 999 redis
  5. # 改为中科大镜像源
  6. RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.ustc.edu.cn/g' /etc/apk/repositories
  8. # 调整时区
  9. RUN apk add --no-cache --virtual .build-tzdata tzdata ; \
  10.     cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime ;\
  11.     apk del .build-tzdata;
  15. RUN apk add --no-cache \
  16.                 'su-exec>=0.2' \
  17.                 tzdata
  19. ENV REDIS_VERSION 6.2.7
  20. ENV REDIS_DOWNLOAD_URL http://download.redis.io/releases/redis-6.2.7.tar.gz
  21. ENV REDIS_DOWNLOAD_SHA b7a79cc3b46d3c6eb52fa37dde34a4a60824079ebdfb3abfbbfa035947c55319
  23. # 编译 Redis 相关镜像
  24. RUN set -eux; \
  25.         \
  26.         # 使用 --virtual 将软件包虚拟安装到 .build-deps 空间下, 之后会被打包
  27.         # 使用 --no-cache 不会留下缓存文件
  28.         apk add --no-cache --virtual .build-deps \
  29.                 coreutils \
  30.                 dpkg-dev dpkg \
  31.                 gcc \
  32.                 linux-headers \
  33.                 make \
  34.                 musl-dev \
  35.                 openssl-dev \
  36.                 wget \
  37.         ; \
  38.         \
  39.         wget -O redis.tar.gz "$REDIS_DOWNLOAD_URL"; \
  40.         echo "$REDIS_DOWNLOAD_SHA *redis.tar.gz" | sha256sum -c -; \
  41.         mkdir -p /usr/src/redis; \
  42.         tar -xzf redis.tar.gz -C /usr/src/redis --strip-components=1; \
  43.         rm redis.tar.gz; \
  44.         \
  45.         # 禁用 Redis 的保护模式
  46.         grep -E '^ *createBoolConfig[(]"protected-mode",.*, *1 *,.*[)],$' /usr/src/redis/src/config.c; \
  47.         sed -ri 's!^( *createBoolConfig[(]"protected-mode",.*, *)1( *,.*[)],)$!\10\2!' /usr/src/redis/src/config.c; \
  48.         grep -E '^ *createBoolConfig[(]"protected-mode",.*, *0 *,.*[)],$' /usr/src/redis/src/config.c; \
  49.         \
  50.         # 获取CPU架构
  51.         gnuArch="$(dpkg-architecture --query DEB_BUILD_GNU_TYPE)"; \
  52.         extraJemallocConfigureFlags="--build=$gnuArch"; \
  53.         dpkgArch="$(dpkg --print-architecture)"; \
  54.         case "${dpkgArch##*-}" in \
  55.                 amd64 | i386 | x32) extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-page=12" ;; \
  56.                 *) extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-page=16" ;; \
  57.         esac; \
  58.         extraJemallocConfigureFlags="$extraJemallocConfigureFlags --with-lg-hugepage=21"; \
  59.         # 根据架构调整 Makefile 文件
  60.         grep -F 'cd jemalloc && ./configure ' /usr/src/redis/deps/Makefile; \
  61.         sed -ri 's!cd jemalloc && ./configure !&'"$extraJemallocConfigureFlags"' !' /usr/src/redis/deps/Makefile; \
  62.         grep -F "cd jemalloc && ./configure $extraJemallocConfigureFlags " /usr/src/redis/deps/Makefile; \
  63.         \
  64.         # 编译 Redis
  65.         export BUILD_TLS=yes; \
  66.         make -C /usr/src/redis -j "$(nproc)" all; \
  67.         make -C /usr/src/redis install; \
  68.         \
  69.         # Redis
  70.         serverMd5="$(md5sum /usr/local/bin/redis-server | cut -d' ' -f1)"; export serverMd5; \
  71.         find /usr/local/bin/redis* -maxdepth 0 \
  72.                 -type f -not -name redis-server \
  73.                 -exec sh -eux -c ' \
  74.                         md5="$(md5sum "$1" | cut -d" " -f1)"; \
  75.                         test "$md5" = "$serverMd5"; \
  76.                 ' -- '{}' ';' \
  77.                 -exec ln -svfT 'redis-server' '{}' ';' \
  78.         ; \
  79.         \
  80.         rm -r /usr/src/redis; \
  81.         \
  82.         runDeps="$( \
  83.                 scanelf --needed --nobanner --format '%n#p' --recursive /usr/local \
  84.                         | tr ',' '\n' \
  85.                         | sort -u \
  86.                         | awk 'system("[ -e /usr/local/lib/" $1 " ]") == 0 { next } { print "so:" $1 }' \
  87.         )"; \
  88.         apk add --no-network --virtual .redis-rundeps $runDeps; \
  89.         # 基于前面安装卸载 .build-deps 虚拟包
  90.         apk del --no-network .build-deps; \
  91.         \
  92.         redis-cli --version; \
  93.         redis-server --version
  95. RUN mkdir /data && chown redis:redis /data
  96. VOLUME /data
  97. WORKDIR /data
  99. COPY docker-entrypoint.sh /usr/local/bin/
  100. ENTRYPOINT ["docker-entrypoint.sh"]
  102. EXPOSE 6379
  103. CMD ["redis-server"]
复制代码
Dockerfile 中 ENTRYPOINT 所使用的  docker-entrypoint.sh 文件内容如下。
  1. #!/bin/sh
  2. set -e
  4. # 当第一个参数使用 `-f` or `--some-option` 这样参数时
  5. # 或以 `.conf` 结尾,
  6. if [ "${1#-}" != "$1" ] || [ "${1%.conf}" != "$1" ]; then
  7.   # 将第一个参数设为 redis-server, 方便后面启动
  8.         set -- redis-server "$@"
  9. fi
  11. # 当启动程序是 'redis-server' 且 uid = 0 时, 即 Root 启动
  12. if [ "$1" = 'redis-server' -a "$(id -u)" = '0' ]; then
  13.   # 1. 调整数据目录属主为 Redis
  14.         find . \! -user redis -exec chown redis '{}' +
  15.   # 2. 使用 exec su-exec 组合启动redis-server,  会将当前 PID 传递给 redis-server, 并切换用户为 redis
  16.   #    注意: 使用 exec 后, 后面脚本将不会执行
  17.         exec su-exec redis "$0" "$@"
  18. fi
  20. # 当用户使用其它用户启动, 或者非 redis-server 服务启动适时会执行如下代码
  22. # 修改默认权限 为 700
  23. um="$(umask)"
  24. if [ "$um" = '0022' ]; then
  25.         umask 0077
  26. fi
  28. # 启动服务
  29. exec "$@"
复制代码
总结

我们从几个案例中可以看出，Alpine 为容器做了很多量身打造的特性。比如 apk 的不使用缓存/虚拟包特性，容器构建带来极大方便。而 apk 所包含 su-exec 包也比 sudo 更适合容器。
不仅如此，传统镜像精简版镜像的ps/netstat/ifconfig/ip/vi  等命令会被删掉，导致后期运维困难。而仅 5M 的 Alpine 却都自带。传统镜像去安装任何一个命令可能都要比 Alpine 本身都要大，还会增添 cve 漏洞风险，而 Alpine 几乎无需考虑这个问题。
所以，如果没有用到 glibc 的服务 Alpine 将是一个非常不错的选择。而用了 glibc 测试过兼容性问题后，Alpine 也是非常不错选择。
作者：安树博 青云科技 PaaS 中间件开发工程师
从事 PaaS 中间件服务（Redis/Memcached 等）开发工作，热衷对 NoSQL 数据库领域内技术的学习与研究

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！
回复

使用道具 举报

0 个回复

正序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

玛卡巴卡的卡巴卡玛

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表