Как поделиться образом с другим человеком

Способы обмена Docker-образами

Как DevOps-инженер с более чем 10-летним опытом, я использую несколько проверенных способов обмена Docker-образами, каждый из которых имеет свои сценарии применения.

1. Регистр Docker (Docker Registry) - основной промышленный способ

Современный стандарт де-факто — использование Docker Registry. Самые распространенные варианты:

• Docker Hub — публичный регистр по умолчанию
• AWS ECR, Google Container Registry, Azure Container Registry — облачные решения от крупных провайдеров
• Harbor, GitLab Container Registry, JFrog Artifactory — частные/корпоративные решения, которые часто разворачиваются on-premise

Процесс обмена через Docker Hub (пример):

# 1. Пометить (tag) образ с указанием имени пользователя и репозитория
docker tag my-local-image:latest yourusername/shared-image:v1.0

# 2. Авторизоваться в Docker Hub
docker login

# 3. Загрузить (push) образ в регистр
docker push yourusername/shared-image:v1.0

# 4. Другой человек может скачать (pull) образ
docker pull yourusername/shared-image:v1.0

Преимущества:

• Централизованное хранение и управление версиями
• Интеграция с CI/CD пайплайнами
• Поддержка сканеров уязвимостей и политик безопасности
• Высокая доступность и производительность

2. Сохранение и загрузка через tar-архив - для оффлайн или быстрого обмена

Когда сетевой доступ к регистру ограничен или нужно передать образ напрямую:

# Сохранить образ в архив
docker save -o my-image.tar your-image:tag

# Сжать архив для удобства передачи (опционально)
gzip my-image.tar

# После передачи получатель загружает образ
docker load -i my-image.tar.gz

Ключевые моменты:

• Архив содержит все слои образа и метаданные
• Размер файла может быть значительным (сотни МБ или ГБ)
• Нет встроенного управления версиями
• Идеально для аварийного восстановления, воздушных зазоров (air-gapped) или демонстраций

3. Использование docker commit и docker export (для особых случаев)

Эти методы используются реже, но полезны в специфических сценариях:

# Создать образ из запущенного контейнера (docker commit)
docker commit <container_id> temporary-image:snapshot

# Экспортировать файловую систему контейнера (docker export)
docker export <container_id> > container-fs.tar

Важно: docker export создает архив только файловой системы, без истории слоев и метаданных Docker, что ограничивает его применение.

4. Прямой доступ к Docker Daemon (для разработки и отладки)

В защищенных внутренних сетях иногда настраивают незащищенный TCP-порт Docker Daemon:

# На стороне отправителя (обычно в /etc/docker/daemon.json)
{
  "hosts": ["tcp://0.0.0.0:2375", "unix:///var/run/docker.sock"]
}

# На стороне получателя
docker -H tcp://host-ip:2375 pull local-image:tag

⚠️ Критически важное предупреждение: Этот метод крайне небезопасен без дополнительной защиты (TLS, VPN, сетевых политик), так как предоставляет полный root-доступ к хосту. Используйте только в изолированных средах.

5. Интеграция в CI/CD пайплайн - автоматизированный промышленный подход

В современных DevOps-практиках образы создаются и публикуются автоматически:

# Пример .gitlab-ci.yml для GitLab CI
stages:
  - build
  - push

build-and-push:
  stage: build
  image: docker:latest
  services:
    - docker:dind
  script:
    - docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA .
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
    - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA

Рекомендации по безопасности и лучшие практики

1. Всегда используйте теги (tags) вместо latest для явного указания версий
2. Подписывайте образы (Docker Content Trust) для гарантии целостности
3. Сканируйте образы на уязвимости перед публикацией
4. Используйте частные регистры для конфиденциальных образов
5. Ограничивайте права доступа с помощью IAM-ролей или scoped tokens
6. Минимизируйте размер образа с помощью multi-stage builds

Пример multi-stage build для уменьшения размера:

# Этап сборки
FROM golang:1.19-alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp .

# Финальный этап с минимальным образом
FROM alpine:latest
WORKDIR /root/
COPY --from=builder /app/myapp .
CMD ["./myapp"]

Для большинства профессиональных сценариев я рекомендую использовать частный Docker Registry (Harbor или ECR/ACR/GCR), интегрированный с вашей системой CI/CD и сканером безопасности. Для разовых или оффлайн задач подойдет docker save/load. Главное — всегда учитывайте требования безопасности и соответствия политикам вашей организации.