Docker:从apt-get docker容器中处理软件包安全更新的最佳方法

Question

在我当前的服务器上,我使用无人值守升级来自动处理安全更新.但我想知道人们会建议在Docker容器内工作.我为我的应用程序的每个服务运行了几个docker容器.我应该在每个设备中进行无人值守升级吗？或者可以在本地升级它们并推送升级的映像？还有其他想法吗？

有人在制作中有这方面的经验吗？

Answer 1

我像你一样（之前）自动更新。我目前有 Stage 容器，但 Prod 中没有任何东西。但是，对每个容器应用更新并没有什么坏处：如果您有多个基于同一映像的容器，也许会出现一些冗余的网络活动，但其他情况下是无害的。

我认为重建容器不必要地耗费时间，并且涉及更复杂的过程。

WRT 时间：重建时间添加到更新所需时间中，因此从这个意义上来说，这是“额外”时间。如果您的容器有启动过程，则必须重复这些过程。

WRT 复杂性：一方面，您只需使用 apt 运行更新。另一方面，您基本上充当集成服务器：步骤越多，出错的机会就越多。

此外，更新不会创建“黄金形象”，因为它很容易重复。

最后，由于内核实际上从未更新过，因此您不需要重新启动容器。