feat: optimizing docker image (#45)

gdsc-ssu · Jan 18, 2025 · 7a891fe · 7a891fe
1 parent ca50fa5
commit 7a891fe
Show file tree

Hide file tree

Showing 11 changed files with 120 additions and 0 deletions.
diff --git a/.DS_Store b/.DS_Store
diff --git a/AWS/.DS_Store b/AWS/.DS_Store
diff --git a/AWS/image/Pasted image 20231113162741.png b/AWS/image/Pasted image 20231113162741.png
diff --git a/AWS/image/Pasted image 20240719110709.png b/AWS/image/Pasted image 20240719110709.png
diff --git a/AWS/image/Pasted image 20240719110718.png b/AWS/image/Pasted image 20240719110718.png
diff --git a/AWS/image/Pasted image 20240719110721.png b/AWS/image/Pasted image 20240719110721.png
diff --git a/AWS/image/Pasted image 20240719110733.png b/AWS/image/Pasted image 20240719110733.png
diff --git a/AWS/image/Pasted image 20240719110933.png b/AWS/image/Pasted image 20240719110933.png
diff --git a/AWS/image/Pasted image 20240719110958.png b/AWS/image/Pasted image 20240719110958.png
diff --git a/AWS/image/Pasted image 20240719142307.png b/AWS/image/Pasted image 20240719142307.png
diff --git a/AWS/도커이미지최적화하기.md b/AWS/도커이미지최적화하기.md
@@ -0,0 +1,120 @@
+## 요약  
+오늘날 많은 기업이 제품을 배포할 때 컨테이너 환경을 사용한다. 더 많은 서비스를 개발함에 따라, 이를 제공하기 위해 더 많은 서버가 필요하게 되며, 이는 마이크로서비스 아키텍처(MSA)를 채택하게 만든다. 동시에 컨테이너 사용이 증가함에 따라 Docker 이미지를 효율적으로 관리하는 것이 컨테이너 기반 인프라를 유지하는 데 중요하다. 본 글에서는 Docker 이미지의 보안성과 성능을 개선하는 방법을 설명한다.
+
+---
+
+### Docker 이미지 취약점 해결  
+Docker 이미지는 공식적으로 인증된 이미지라 하더라도 취약점을 가질 수 있다. 이를 해결하기 위해 취약점이 없는 이미지를 사용하거나, 버전을 업데이트하거나, 베이스 이미지를 변경할 수 있다.
+
+```dockerfile
+FROM openjdk:17
+
+EXPOSE 8080
+
+COPY /font/NanumGothic.ttf /font/NanumGothic.ttf
+COPY /hospital/hospital-application/build/libs/hospital-application-0.0.1-SNAPSHOT.jar /app.jar
+
+ENV JAVA_TOOL_OPTIONS -Djava.security.properties=/java/security/enableLegacyTLS.security -Dfile.encoding=UTF8
+ENV MODULE_NAME hospital
+ENV TZ Asia/Seoul
+
+ENTRYPOINT ["java", "-Dspring.profiles.active=develop", "-jar", "/app.jar"]
+```
+
+위 예시는 초기 애플리케이션에서 사용했던 OpenJDK 17 베이스 이미지를 보여준다. 해당 이미지는 지원이 종료되었고 여러 취약점을 포함하고 있었다.  
+<img src="./image/Pasted image 20240719110709.png">  
+그래서 베이스 이미지를 `amazoncorretto:17`로 변경했다.  
+<img src="./image/Pasted image 20240719110721.png">  
+그러나 `amazoncorretto:17`로 변경한 후에도 네트워크 보안과 관련된 취약점이 여전히 남아 있었다. 이에 따라 `amazonlinux:2023`을 기반으로 한 `amazoncorretto:17.0.10-al2023` 이미지를 사용했다([Docker](https://hub.docker.com/layers/library/amazoncorretto/17.0.10-al2023/images/sha256-788e2e45f885e4ddeb881d5616e8b6976898c475ae3311e65263f64ec46f103c?context=explore)).  
+<img src="./image/Pasted image 20240719110733.png">  
+또한 [Ubuntu Packages Search](https://packages.ubuntu.com/) 사이트에서 OS 이미지의 정보와 취약점을 검색할 수 있다.  
+<img src="./image/Pasted image 20240719142307.png">  
+
+---
+
+### 경량 Docker 이미지  
+<img src="./image/Pasted image 20240719110958.png">  
+Docker 이미지 크기를 줄이는 것은 Docker 컨테이너를 효율적으로 배포하기 위해 중요하다. Docker 이미지 크기가 크면 다음과 같은 문제가 발생한다:
+- 이미지 빌드 시간이 증가한다.
+- 이미지를 레지스트리에 푸시하는 시간이 증가한다.
+- 레지스트리에서 이미지를 풀링하는 시간이 증가한다.
+
+이러한 문제는 CI/CD 프로세스와 스케일 아웃 시간을 증가시키며, 서버 스토리지를 낭비하게 만든다. Docker 이미지 크기를 줄이는 두 가지 방법을 소개한다.
+
+#### Distroless 사용  
+첫 번째 방법은 Distroless 이미지를 사용하는 것이다. Google이 개발한 Distroless 이미지는 가장 작은 크기의 이미지 중 하나다. Distroless 이미지는 애플리케이션과 실행에 필요한 런타임 종속성만 포함한다.  
+예를 들어, 가장 작은 Distroless 이미지인 `gcr.io/distroless/static-debian11`는 약 2 MiB 크기이며, 이는 `alpine`(~5 MiB)의 약 50%이고, `debian`(124 MiB)의 2% 미만이다. 아래는 Distroless 이미지를 사용하는 예제다.
+
+```dockerfile
+# 애플리케이션 빌드
+FROM golang:1.18 as build
+
+WORKDIR /go/src/app
+COPY . .
+
+RUN go mod download
+RUN CGO_ENABLED=0 go build -o /go/bin/app
+
+# 빌드된 애플리케이션을 Distroless 이미지에 복사
+FROM gcr.io/distroless/static-debian11
+COPY --from=build /go/bin/app /
+CMD ["/app"]
+```
+
+Distroless 이미지와 관련된 다양한 이미지는 [GitHub 링크](https://github.com/GoogleContainerTools/distroless)에서 확인할 수 있다. Distroless 이미지를 애플리케이션 이미지로 사용하면 성능을 크게 개선할 수 있다.
+
+#### 레이어 최소화  
+Docker 명령어(예: `RUN`)는 사용 시마다 레이어를 생성한다. 따라서 여러 명령어를 한 번에 실행하도록 `RUN` 명령어를 변경할 수 있다.  
+
+```dockerfile
+FROM alpine:3.14
+LABEL maintainer="FastCampus Park <fastcampus@fastcampus.com>"
+LABEL description="Simple utility to send slack message easily."
+
+# 필요한 패키지 설치
+RUN \
+  apk add --no-cache bash curl git && \
+  git clone https://github.com/course-hero/slacktee /slacktee && \
+  apk del --no-cache git
+RUN chmod 755 /slacktee/slacktee.sh
+
+# 실행
+WORKDIR /slacktee
+ENTRYPOINT ["/bin/bash", "-c", "./slacktee.sh"]
+```
+
+`&&` 구문을 사용하여 여러 명령어를 결합할 수 있다. 또한 `--no-cache` 옵션을 사용하면 이미지 빌드 과정에서 불필요한 캐시 데이터를 제거할 수 있다.
+
+---
+
+#### Docker 멀티 스테이지 빌드  
+<img src="./image/Pasted image 20240719110933.png">  
+Docker 멀티 스테이지 빌드를 사용하면 Dockerfile에서 여러 단계를 정의할 수 있다. 이를 통해 필요한 구성 요소만 포함된 최소한의 최종 이미지를 생성할 수 있다.  
+아래는 Spring Boot 애플리케이션을 위한 멀티 스테이지 빌드의 예제다.
+
+```dockerfile
+FROM amazoncorretto:17.0.10-al2023 AS base
+WORKDIR /app
+COPY /docker/docker-application/build/libs/docker-application-0.0.1-SNAPSHOT.jar /app.jar
+RUN java -Djarmode=layertools -jar app.jar extract
+
+FROM amazoncorretto:17.0.10-al2023
+WORKDIR /app
+EXPOSE 8080
+COPY --from=base /app/dependencies/ ./
+COPY --from=base /app/spring-boot-loader/ ./
+COPY --from=base /app/snapshot-dependencies/ ./
+COPY --from=base /app/application/ ./
+ENV MODULE_NAME docker
+ENV TZ Asia/Seoul
+
+ENTRYPOINT ["java", "-Dspring.profiles.active=develop", "org.springframework.boot.loader.JarLauncher"]
+```
+
+위 Dockerfile은 빌드 단계에서 JAR 파일을 추출하고 이를 여러 레이어로 나눈다. 실행 단계에서는 필요한 모든 종속성을 베이스 이미지에서 가져와 `JarLauncher`를 사용해 애플리케이션을 실행한다. 이 방식은 JAR 파일의 압축 해제 작업을 생략하여 효율성을 높이며, 애플리케이션의 레이어를 캐싱하여 빌드 속도를 개선한다.  
+
+---
+
+### 결론  
+<img src="./image/Pasted image 20231113162741.png">  
+본 글에서는 Docker 이미지를 효율적으로 관리하는 방법에 대해 논의했다. 컨테이너 기반 배포는 현대 백엔드 시스템에서 지배적인 아키텍처다. 보안 문제를 해결하고 Docker 이미지 크기를 줄이는 것은 인프라를 유지하고 서비스를 운영하는 데 매우 중요하다.