도커 교과서 17장 도커 이미지 최적화하기: 보안, 용량, 속도

17장 도커 이미지 최적화하기: 보안, 용량, 속도

17.1 도커 이미지를 최적화하는 방법

• 이미지가 최적화되어야 이미지 빌드와 배포가 빨라지고, 애플리케이션의 보안이 지켜진다.
• 애플리케이션을 업데이트하기 위해 컨테이너를 교체하면 새로운 이미지를 내려받지만, 기존 이미지도 삭제되지 않고 남는다.
• 이 경우가 지속되면 디스크 용량이 순식간에 부족해지는 경우가 많다.

$ docker system df

• 주기적으로 docker system prune 명령어를 사용하여, 사용하지 않는 이미지 레이어나 빌드 캐시를 비워주는 것이 좋다.

꼭 필요한 파일만 이미지에 포함시키기

• 꼭 필요한 파일만 이미지에 포함시키는 것이 디스크 용량 절약의 첫걸음 이다.

$ vi Dockerfile.v1

FROM diamol/base
CMD echo app- && Is app && echo docs- && Is docs
COPY . .

$ vi Dockerfile.v2

FROM diamol/base
CMD echo app= && Is app && echo docs- && Is docs
COPY . .
RUN rm -rf docs

• v1 Dockerfile , v2 Dockerfile 의 용량은 같다.
• Dockerfile 스크립트의 인스트럭션 하나마다 이미지 레이어가 하나씩 생성된다.
• 이때, 한 번 이미지에 복사한 파일은 이미지에서 뺄 수 없다.
• 그 다음 레이어에서 파일을 지우더라도 파일 시스템에서 숨겨질 뿐 실제로 파일이 삭제되지 않는다.
• 그렇기 때문에, 각 이미지 레이어를 최적화 해야한다.

$ vi Dockerfile.v3

FROM diamol/base
CMD echo app- && Is app && echo docs- && Is docs
COPY ./app ./app

• 위 처럼 필요한 파일만을 이미지에 복사함으로써, 이미지 용량을 줄일 수 있다.

$ mv rename.dockerignore .dockerignore

$ docker imge build -t diamol/ch17-build-context:v3 -f ./Dockerfile.v3 .

• 도커의 빌드 과정은 엔진에 빌드 컨텍스트(빌드를 실행한 디렉토리) 를 압축하고, Dockerfile 스크립트를 함께 보내면서 시작된다.
• 이 빌드 컨텍스트에는 불필요한 파일이 포함된 경우가 많다.
• .dockerignore 파일을 이용해 불필요한 파일을 제외할 수 있다.

17.2 좋은 기반 이미지를 고르는 법

• 기반 이미의 크기는 디스크 용량이나 네트워크 전송 시간뿐만 아니라 애플리케이션 보안과도 관계가 깊다.
• 작은 기반 이미미지로 동작하지 않는 애플리케이션도 있겠지만, 여러번 테스트하며 적합한 이미지를 찾아야 한다.
• 자바 애플리케이션은 OpenJDK 공식 이미지를 기반 이미지로 많이 사용한다.
• 설정값에 따라 다양한 태그가 부여된 자바 런타임(JRE), 개발자 키드 (JDK) 이미지가 있다.
• 크기가 가장 큰 OpenJDK 이미지는 자바 SDK 전체가 들어 있는데, 이는 컨테이너 침입자의 공격 수단으로 활용될 수 있다.
• 리눅스 컨테이너에는 알파인 리눅스, 데비안 슬림 이미지를 추천하고, 윈도우 컨테이너는 나노 서버를 추천한다.

앤코어

• 앤코어는 서드파티 도구로, 골든 이미지에 삽입해 빌드 중에 검사를 할 수 있다.
• CI/CD 파이프라인에 통합해서 사용하는 방식으로 사용한다.
• 앤코어는 이미지를 분석하여, 오픈 소스 라이센스, 운영체제, 이미지에 포함된 바이너리 파일의 보안 문제까지 파악을 해준다.

$ docker compose -f docker-compose.yml up -d

$ docker container exec anchore_engine-api_1 anchore-cli image add diamol/openjdk --dockerfile /Dockerfile

17.3 이미지 레이어 수와 이미지 크기는 최소한으로

• 소프트웨어를 설치하면 패키지 목록을 캐싱하거나 추천 패키지 등을 함께 설치하기 때문에 대부분의 경우 불필요한 요소나 설치 후 잔재가 발생한다.
• 이런 요소까지 확실하게 통제할 수 있어야 한다.

# apt-get install socat
$ docker image build -t diamol/ch17-socat:v1 .

# apt-get install socat --no-install-recommends
$ docker image build -t diamol/ch17-socat:v2 -f Dockerfile.v2 .

$ docker image Is -f reference=diamol/ch17-socat

$ vi Dockerfile

RUN apt-get install -y curl=7.52.1-5+deb9u16
RUN apt-get install -y socat=1.7.3.1-2+deb9u1

$ vi Dockerfile.v2

RUN apt-get update \\
 && apt-get install -y --no-install-recommends \\
    curl=7.52.1-5+deb9u16 \\
    socat=1.7.3.1-2+deb9u1 \\
 && rm -rf /var/lib/apt/lists/*

• 위 두개의 차이는 단순 apt-get 명령어를 통해 socat 명령을 설치한 것과 --no-install-recommends 옵션을 사용한 것이다.
• 위 두개의 이미지 용량은 약 20MB 가 차이가 난다.
• 또한, RUN 인스트럭션을 하나로 합침으로써 아래와 같은 장점이 있다.
  • 최대 이미지 레이어수는 정해져 있기때문에 여분의 레이어를 남겨 두는 것에도 의미가 있다.
  • 이미지 레이어 수가 적으면 컨테이너 파일 시스템의 내용을 추적하기 훨씬 쉽다.

# 압축 파일을 받은 후 해제, 그 이후 불필요한 파일 제거
$ vi Dockerfile

FROM diamol/base

ARG DATASET_URL=https://archive.ics.uci.edu/ml/machine-learning-databases/url/url_svmlight.tar.gz

WORKDIR /dataset

RUN wget -O dataset.tar.gz ${DATASET_URL} && \\
    tar xvzf dataset.tar.gz

WORKDIR /dataset/url_svmlight
RUN cp Day1.svm Day1.bak && \\
    rm -f *.svm && \\
    mv Day1.bak Day1.svm

# 필요한 파일만 압축 해제
$ vi Dockerfile.v2

FROM diamol/base

ARG DATASET_URL=https://archive.ics.uci.edu/ml/machine-learning-databases/url/url_svmlight.tar.gz

WORKDIR /dataset

RUN wget -O dataset.tar.gz ${DATASET_URL} && \\
    tar -xf dataset.tar.gz url_svmlight/Day1.svm && \\
    rm -f dataset.tar.gz                                  

• 이 경우 필요한 파일만 압축 해제 과정을 하나의 인스트럭션에 진행할 경우 약 2.4GB 의 용량이 차이난다.

이렇듯 이미지 빌드 과정에서 가장 신경 써야 할 것은 애플리케이션에 필요한 것만 이미지에 담아서 사용하는 것이다.

17.4 멀티 스테이지 빌드를 한 단계 업그레이드하기

$ vi Dockerfile.v3

FROM diamol/base AS download
ARG DATASET_URL=https://archive.ics.uci.edu/ml/machine-learning-databases/url/url_svmlight.tar.gz
RUN wget -O dataset.tar.gz ${DATASET_URL}

FROM diamol/base AS expand
COPY --from=download dataset.tar.gz .
RUN tar xvzf dataset.tar.gz

FROM diamol/base
WORKDIR /dataset/url_svmlight
COPY --from=expand url_svmlight/Day1.svm . 

• 스크립트 가도성과 이미지 최적화를 모두 고려한 Dockerfile 스크립트 이다.
• 스테이지별로 어떤 단계를 밟는 중인지 이해하기 쉬우면서, 인스트럭션을 줄이느라 복잡하게 명령어를 합칠 필요가 없다.
• 최종적으로 빌드되는 이미지에는 앞선 단계에서 명시적으로 복사해 온 파일만이 포함된다.
• 원하는 지점까지만 이미지를 빌드할 수 있으므로 디버깅 편의성을 얻을 수 있다.

# 이미지 전체 빌드
$ docker imiage build -t diamol/ch17-ml-dataset:v3 -f Dockerfile.v3 .

# download 스테이지까지 빌드
$ docker image build -t diamol/ch17-ml-dataset:v3-download -f Dockerfile.v3 --target download .

# expand 스테이지까지 빌드
$ docker image build -t diamol/ch17-ml-dataset:v3-expand -f Dockerfile.v3 --target expand .

17.5 최적화가 중요한 이유

이미지 최적화 방법

• 기반 이미지를 잘 고르는 것이 중요하다.
• 자신만의 골든 이미지를 갖출 수 있다면 매우 이상적이다.
• 아주 간단한 애플리케이션 이나리면, 멀티 스테이지 빌드를 적용하는 것이 좋다.
• 불필요한 패키지나 파일을 포함하지 않음으로써, 레이어 크기를 최소한으로 유지한다.
• Dockerfile 스크립트는 자주 수정이 일어나는 순서대로 뒤에 오도록 배치하여 캐시를 최대한 활용한다.

이미지 최적화 효과

• 개발자는 최적화를 통해 시간과 디스크 공간을 더 많이 확복할 수 있다.
• 최적화를 통해 빌드 시간, 검수, 푸시에 걸리는 시간을 절약에 CI/CD 파이프라인의 실행 횟수를 늘릴 수 있다.
• 최적화된 이미지를 통해 컨테이너 실행 시간을 절약할 수 있다.
• 이미지 크기를 줄임으로써, 불필요한 패키지나 파일을 통한 보안 문제를 해결할 수 있다.