Implementando Imagem de Container Mínima Base com Distroless

Visão Geral

Imagens distroless do Google contêm apenas seu aplicativo e suas dependências de tempo de execução, sem gerenciadores de pacotes, shells ou outros programas encontrados em distribuições Linux padrão. Ao eliminar componentes desnecessários do sistema operacional, as imagens distroless alcançam uma redução de até 95% na superfície de ataque em comparação com imagens base tradicionais como ubuntu ou debian. Grandes projetos, incluindo o próprio Kubernetes, Knative e Tekton, usam imagens distroless em produção. A partir de 2025, o Docker também oferece Imagens Endurecidas (DHI) como uma alternativa de código aberto para bases de contêineres mínimas.

Quando Usar

• Ao implantar ou configurar a implementação de imagem de container mínima base com recursos distroless em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker 20.10+ ou ferramenta de build de contêiner compatível (Buildah, Kaniko)
• Conhecimento de Dockerfile multi-stage
• Aplicação compilada como um binário estático ou com tempo de execução empacotado
• Registro de contêiner para armazenamento de imagens

Imagens Distroless Disponíveis

Padrões de Build Multi-Stage

Aplicação Go

# Build stage
FROM golang:1.22-bookworm AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o /server ./cmd/server

# Runtime stage - static distroless
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /server /server
USER nonroot:nonroot
ENTRYPOINT ["/server"]

Aplicação Java

# Build stage
FROM maven:3.9-eclipse-temurin-21 AS builder
WORKDIR /app
COPY pom.xml .
RUN mvn dependency:go-offline
COPY src ./src
RUN mvn package -DskipTests

# Runtime stage - Java distroless
FROM gcr.io/distroless/java21-debian12:nonroot
COPY --from=builder /app/target/app.jar /app.jar
USER nonroot:nonroot
ENTRYPOINT ["java", "-jar", "/app.jar"]

Aplicação Python

# Build stage
FROM python:3.12-bookworm AS builder
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir --target=/deps -r requirements.txt
COPY . .

# Runtime stage - Python distroless
FROM gcr.io/distroless/python3-debian12:nonroot
WORKDIR /app
COPY --from=builder /deps /deps
COPY --from=builder /app /app
ENV PYTHONPATH=/deps
USER nonroot:nonroot
ENTRYPOINT ["python3", "/app/main.py"]

Aplicação Node.js

# Build stage
FROM node:22-bookworm AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --production
COPY . .

# Runtime stage - Node distroless
FROM gcr.io/distroless/nodejs22-debian12:nonroot
WORKDIR /app
COPY --from=builder /app .
USER nonroot:nonroot
CMD ["server.js"]

Benefícios de Segurança

Comparação da Superfície de Ataque

Implicações de Segurança

• Sem shell: Atacantes não podem executar comandos em contêineres
• Sem gerenciador de pacotes: Não é possível instalar ferramentas adicionais ou malware
• Sem coreutils: Sem cat, ls, find, curl para reconhecimento
• CVEs mínimos: Menos pacotes significam menos vulnerabilidades para corrigir
• Não root por padrão: A tag :nonroot é executada como UID 65534

Depurando Contêineres Distroless

Como o distroless não tem shell, use estas técnicas para depuração:

Variante de Imagem de Depuração

# Use debug variant in non-production environments only
FROM gcr.io/distroless/base-debian12:debug
# Includes busybox shell at /busybox/sh

# Executar na variante de depuração

…