下一代 docker 构建组件Buildkit

yxxhero

发布于 2022-05-31 19:25:30

1.7K0

发布于 2022-05-31 19:25:30

文章被收录于专栏：DevOps充电宝

BuildKit 简介

buildkit 是下一代 docker 构建组件，拥有众多特性：

自动垃圾收集
可扩展的前端格式
并发依赖项解析
高效的指令缓存
构建缓存导入/导出
嵌套的构建作业调用
可配置的构建底层,包括 OCI (runc)和 containerd，未来将加入更多的构建底层
多种输出格式
可插拔架构
无需 root 权限

BuildKit的build输出：

Buildkit 内部格式 LLB

BuildKit构建基于一种称为 LLB 的二进制中间格式，该格式用于为构建流程定义依赖关系图，依赖 LLB 的优点，它为构建流程提供强大的特性:

可封装为 Protobuf messages
并行执行
高效缓存
供应商中立[可自定义其实现]

BuildKit 新语法之 RUN --mount

注意：为了支持此语法，需在 dockerfile 文件加入以下内容

# syntax=docker/dockerfile:1.2

RUN --mount 允许您创建 mount，该 mount 作为构建期间可以访问的一部分。该特性可用于从构建的其他部分绑定文件，而无需复制、访问构建 secrets 或 ssh-agent 套接字，或者创建缓存位置从而加速构建。支持以下语法：

RUN --mount=type=bind 默认挂载类型这种挂载类型允许将上下文或 image 中的目录(只读)绑定到构建容器中。

选项	描述
target (required)	挂载路径.
source	源路径基于from. 默认是from的根路径.
from	指定挂载的源头，可以是构建阶段名称或者镜像名称. 默认为构建上下文.
rw,readwrite	读写模式，数据将会被丢弃.

RUN --mount=type=cache 此挂载类型允许挂载缓存目录，从而访问缓存。

Option	Description
id	可选区分不同的缓存
target (required)	挂载路径.
ro,readonly	是否只读.
sharing	shared, private, locked三者其一. 默认shared. shared 缓存挂载可以被多个写入器同时使用. private 如果有多个写入，则创建一个新的挂载. locked 暂停第二个写入器，直到第一个写入器释放mount.
from	作为缓存挂载的基础的构建阶段名称。默认为空目录
source	将要挂载的from的子路径. 默认是from的根路径.
mode	新缓存目录的文件模式. 默认0755.
uid	新缓存目录的用户ID. 默认为0.
gid	新缓存目录的组ID. 默认为0.

RUN --mount=type=tmpfs 这种挂载类型允许在build容器时挂载tmpfs。

Option	Description
target (required)	挂载路径.

RUN --mount=type=secret 这种挂载类型允许生成容器访问安全文件，比如私钥，而无需将它们放入映像中

Option	Description
id	secret的id. 默认为target path的basename.
target	挂载路径. 默认/run/secrets/ + id.
required	如果设置为true，当secret不可用时，指令会出错。默认为false.
mode	文件的模式. 默认为0400.
uid	UID. 默认 0.
gid	Group ID. 默认 0.

RUN --mount=type=ssh 这种挂载类型允许构建容器通过ssh agent访问 SSH keys，并支持密码.

Option	Description
id	SSH代理套接字或密钥ID. 默认为"default".
target	SSH代理套接字路径. 默认为/run/buildkit/ssh_agent.${N}.
required	如果设置为true，当secret不可用时，指令会出错。默认为false.
mode	套接字文件模式. 默认0600.
uid	socket的用户ID. 默认0.
gid	socket的组ID. 默认0.

BuildKit 新语法之 RUN --security=insecure|sandbox

注意: 使用此语法需要在dockerfile加入以下内容:

#syntax=docker/dockerfile:1.2-labs

使用--security=insecure，构建器可以在非安全模式下运行非沙盒的命令，再运行需要特权的工作流中是需要的(例如containerd)。作用类似于docker run --privileged。为了启用此特性，security.insecure应该开启，即在buildkitd启动时开启(--allow-unsecure-entitlement security.insecure)和(--allow security.insecure)选项。

默认的sandbox模式可以通过 --security=sandbox开启，但这是没什么作用的。