apko：基于apk的OCI镜像构建器

构建并发布由apk包构建的OCI容器镜像。

apko具有以下主要特性：

• 默认完全可重现。 多次运行apko，你将得到完全相同的二进制文件。
• 快速。 apko旨在以毫秒级速度构建镜像。
• 小巧。 apko生成的镜像仅包含应用程序所需的内容， 风格类似于distroless。
• SBOM支持。 apko为镜像生成软件物料清单（SBOM），详细列出其中的所有包。
• 服务支持。 apko支持使用s6监督套件在容器中运行多个进程， 避免进程回收和信号处理问题。

请注意，apko仍在开发中，细节可能会发生变化！

安装

你可以通过Homebrew安装apko：

brew install apko

你也可以从源代码安装apko：

go install chainguard.dev/apko@latest

你还可以使用apko容器镜像：

docker run cgr.dev/chainguard/apko version

要使用示例，通常需要将当前目录挂载到容器中，例如：

docker run -v "$PWD":/work cgr.dev/chainguard/apko build examples/alpine-base.yaml apko-alpine:edge apko-alpine.tar

另外，如果你使用Mac，可以使用Lima运行Alpine Linux虚拟机。

快速入门

用于构建Alpine基础镜像的apko文件如下所示：

contents:
  repositories:
    - https://dl-cdn.alpinelinux.org/alpine/edge/main
  packages:
    - alpine-base

entrypoint:
  command: /bin/sh -l

# 可选的环境配置
environment:
  PATH: /usr/sbin:/sbin:/usr/bin:/bin

我们可以在任何具有apk工具的环境中使用apko构建此镜像：

apko build examples/alpine-base.yaml apko-alpine:test apko-alpine.tar

...
2022/04/08 13:22:31 apko (aarch64): generating SBOM
2022/04/08 13:22:31 building OCI image from layer '/tmp/apko-3027985148.tar.gz'
2022/04/08 13:22:31 OCI layer digest: sha256:ba034c07d0945abf6caa46fe05268d2375e4209e169ff7fdd34d40cf4e5f2dd6
2022/04/08 13:22:31 OCI layer diffID: sha256:9b4ab6bb8831352b25c4bd21ee8259d1f3b2776deec573733291d71a390157bb
2022/04/08 13:22:31 output OCI image file to apko-alpine.tar

或者使用Docker：

docker run -v "$PWD":/work cgr.dev/chainguard/apko build examples/alpine-base.yaml apko-alpine:test apko-alpine.tar

然后，你可以将生成的tar镜像加载到Docker环境中：

docker load < apko-alpine.tar

Loaded image: apko-alpine:test

docker run -it apko-alpine:test

e289dc84c4ad:/# echo boo!
boo!

你还可以直接将镜像发布到镜像仓库：

apko publish examples/alpine-base.yaml myrepo/alpine-apko:test

有关文件格式的详细信息，请参阅文档，更多示例请查看examples目录！

为什么选择apko

apko由Chainguard创建，他们需要安全且可重现的容器镜像用于其工具。速度也是一个关键因素；Chainguard需要不断重建镜像以响应新版本和补丁。

apko的设计深受ko和distroless项目的影响。

声明式特性

apko的设计不支持类似Dockerfile中RUN语句的等效功能。这意味着apko文件是完全声明式的，使apko能够对镜像内容做出更强有力的声明。特别是，apko镜像在二进制级别上完全可重现，并可以生成涵盖其完整内容的SBOM。

要将定制工具或应用程序安装到镜像中，必须先将它们打包成apk。这可以通过apko的姐妹工具melange完成。

melange和apko的组合涵盖了构建容器镜像时的绝大多数用例。在它们不适合的情况下，我们建议使用apko和melange构建基础镜像，然后使用传统工具（如Dockerfile）进行最后一步。

支持和进一步阅读

apko的教程和指南可以在Chainguard Academy找到。

如需支持，请在Kubernetes Slack的#apko频道找到我们或提出问题。

相关工作和资源

melange项目旨在生成用于apko的apk包。

ko项目以类似于apko的方式从源代码构建Go项目。

kontain.me服务使用不同形式的声明式配置（包括ko和apko）按需创建新的容器镜像。