قائمة التحقق — شرح Docker: الصور والحاويات ووحدات التخزين
دليل خطوة بخطوة
قائمة تحقق عملية لبناء صور Docker وبيئات حاويات جاهزة للإنتاج — تغطي الأمان والأداء وقابلية الاستنساخ.
استخدم صورة أساسية رسمية وصغيرة
فضِّل متغيرات Alpine أو distroless. سطح هجوم أصغر وصورة أخف وسحب أسرع. تحقق من تطابق ملخص الصورة مع checksum المنشور.
ثبِّت جميع وسوم الصور على الملخصات
استبدل 'node:20-alpine' بـ 'node@sha256:…' في ملفات Dockerfile الإنتاجية. أضف Dependabot أو Renovate لتلقي تحديثات تلقائية.
اكتب ملف .dockerignore
استبعد node_modules وملفات .env ودليل .git وملفات الاختبار ومخرجات البناء المحلية. سياق بناء خفيف يُسرِّع بناء الصور ويمنع تضمين الأسرار.
استخدم البناء متعدد المراحل للشيفرة المُجمَّعة
المرحلة 1: تثبيت التبعيات والبناء. المرحلة 2: FROM scratch أو قاعدة صغيرة، نسخ الثنائي المُجمَّع فقط. قس تقليل الحجم — عادةً 60–80٪.
شغِّل كمستخدم غير جذر
أضف مستخدماً مخصصاً في Dockerfile: 'RUN addgroup -S app && adduser -S app -G app' ثم 'USER app'. يُقلِّل هذا من نصف قطر انفجار ثغرات الإفلات من الحاوية.
أضف تعليمة HEALTHCHECK
تُخبر HEALTHCHECK كل من Docker والمُنسِّقين بما إذا كانت الحاوية جاهزة لخدمة حركة المرور. بدونها، قد تُصدِّر الحاوية المُبلَّغ عنها كـ'تعمل' أخطاءً.
افحص الصورة قبل الدفع
شغِّل 'trivy image my-app:latest' في CI قبل الدفع للسجل. حدد عتبة: أفشل البناء على CVEs الحرجة. راجع وحدِّث بانتظام — تظهر CVEs جديدة يومياً.