distrolessコンテナイメージの中を覗いて「なんか軽くてセキュアらしい」より理解を深める - エムスリーテックブログ

この記事はセキュリティチームブログリレー3日目 兼 AIチームブログリレー3日目の記事です。 こんにちは、セキュリティチーム 兼 AIチームの横本(@yokomotod)です。 今回は distroless コンテナイメージについて自由研究してみました。 エムスリーでもよく使われている gcr.io/distroless/static などの distroless イメージ、「シェルもパッケージマネージャもない最小限のイメージ」「軽量！なにもないから安全！」といった説明がされますが、今回は実際にその中身を確かめてみようと思います。 ブログリレーの前回記事はこちら www.m3tech.blog www.m3tech.blog コンテナベースイメージのおおまかな選択肢 scratch だけだと何が足りないか scratch で動かしてみる CGO_ENABLED=0 にしてみる distro

[inductor]

ubiもあるから忘れないであげてほしい

[tmatsuu]

Chainguard Images知らなかった。あとで調べてみよう

[akulog]

このあたり、ちょっと勉強しようかな👀

[yarumato]

“コンテナベースイメージのおおまかな選択肢。distroless 系（攻撃者が使えるツールがない）、軽量 OS（Alpine）、フル OS（Debian, Ubuntu）”

[ymse]

Docker Hardened Images 知らなかった

[efcl]

distrolessコンテナイメージの内部構造と利点についての解説記事。 scratch、distroless、Alpine、Debian/Ubuntuなどのベースイメージの違いを比較している。 実行ファイルがないことでセキュアにするアプローチについてなど

[nguyen-oi]

distrolessの不便さとメリットが分かりやすい。結局glibc問題にぶち当たるからbase-debianが安定なんだよな

[hogetax]

へーこんなのあるんだ。発想としてはパッケージマネージャの置き換えになるんかな？コンテナ運用のコンセプトとしてはこれが正解なんだろう。

[knjname]

良い記事

[mkusaka]

distroless/static を docker export で展開し、CA/zoneinfo等を確認。攻撃面削減とTrivy検知減も紹介