Quiz : Construire des images de conteneurs

b. Debian publie toutes les vulnérabilités connues de ses paquets, y compris celles qu'elle ne corrigera pas en version stable. Le chiffre utile est celui des vulnérabilités corrigeables (5 sur 48 pour debian:13-slim au moment de la mesure). Leçon 1.

Le binaire est lié dynamiquement à glibc et cherche son chargeur /lib64/ld-linux-x86-64.so.2, absent d'Alpine (musl). file ou readelf -l le confirment. Leçon 1.

Uniquement les couches de l'étape finale (ou de celle désignée par --target) : son image de départ, ses instructions, et ce qu'elle copie explicitement avec COPY --from. Compilateurs et outils des étapes intermédiaires restent dans l'atelier. Leçon 2.

Non : BuildKit ne construit que les étapes nécessaires à la cible. L'étape test ne s'exécute qu'avec --target test (l'ancien constructeur, lui, exécutait toutes les étapes). Leçon 2.

Le répertoire monté persiste d'une construction à l'autre : pip y retrouve les paquets déjà téléchargés et les roues déjà compilées (31,5 s ramenées à 4,8 s dans la leçon). Ce répertoire n'entre pas dans l'image. Leçon 3.

mode=min n'exporte que les couches de l'image finale ; celles des étapes intermédiaires (la compilation) n'y sont pas. Il faut mode=max. Leçon 3.

Toutes les instructions RUN qui suivent sa déclaration sont invalidées à chaque construction, même si elles n'utilisent pas l'argument : les arguments déclarés entrent dans leur clé de cache. Leçon 3.

b. docker history montre RUN |1 VAR=valeur ... et la ligne ARG, et la provenance complète enregistre les arguments. La bonne méthode est le montage de secret. Leçon 4.

Le contenu d'un secret ne fait pas partie de la clé de cache. Un secret expiré peut donc passer inaperçu tant que le cache sert, jusqu'au jour où l'instruction doit être rejouée. Une construction périodique sans cache le détecte. Leçon 4.

Les certificats des autorités de confiance (/etc/ssl/certs/ca-certificates.crt), qu'il faut copier depuis l'étape de construction. Il faut souvent aussi les données de fuseaux horaires et un utilisateur non-root. Leçon 5.

L'image distroless embarque le Python de Debian 13, en version 3.13 et dans /usr/bin ; l'environnement pointe vers /usr/local/bin/python en 3.14, absent. Il faut construire avec le Python de la même distribution. Leçon 5.

Les dates (création de l'image, dates des fichiers des couches), les fichiers volatils (journaux d'apt et de dpkg, cache de ldconfig), les .pyc horodatés, et les chemins temporaires aléatoires inscrits dans les binaires compilés. Leçon 6.

SOURCE_DATE_EPOCH seule fixe les dates de la configuration de l'image ; rewrite-timestamp=true réécrit aussi les dates des fichiers des couches, sans quoi un simple répertoire créé pendant la construction suffit à changer l'empreinte. Leçon 6.

Que chaque archive installée a l'une des empreintes listées dans le fichier de dépendances ; toute archive inconnue ou modifiée est refusée. Le fichier de verrouillage devient ainsi un document de sécurité, à relire. Leçon 6.

Compiler en croisé (étape de construction en FROM --platform=$BUILDPLATFORM, étape finale sans RUN), installer l'émulation QEMU, ou utiliser un nœud de construction ARM natif. La première est à préférer. Leçon 7.

L'étape ne déclare pas ARG TARGETARCH : la variable est vide et Go compile pour l'architecture de la machine. Leçon 7.

Le SBOM dit ce que contient l'image (composants, versions, purl) ; la provenance dit comment elle a été construite (sources et commit, images de base par empreinte, paramètres, système de construction). Leçon 8.

Les producteurs de SBOM n'expriment pas tous de la même façon les informations dont l'analyseur a besoin pour relier un paquet aux avis de sécurité (paquet source, distribution, propriétés propres à l'outil). Il faut valider la chaîne producteur et consommateur. Leçon 8.

no signatures found : la signature porte sur une empreinte, pas sur l'étiquette ; la nouvelle image n'a jamais été signée. L'ancienne reste vérifiable par son empreinte. Leçon 9.

Pour qu'une demande de fusion, éventuellement venue d'un fork, construise et teste sans jamais publier, signer, ni accéder aux secrets ou écrire dans le cache de la branche principale. Leçon 10.