Docker构建和安全更新，最佳实践？

Question

我目前正在将直接安装在服务器上的应用移动到docker镜像。就此而言，我创建了一个Dockerfile apt-get install我的包，然后在图片中安装我的应用程序。

我的问题如下：

我应该如何处理安全更新？我在该图片中安装了多个软件包，但默认情况下，docker build会重复使用之前的图层。

我看到了3种可能性：

• 使用--no-cache构建（或仅--pull？）
• 在Dockerfile的末尾添加unattended-upgrade
• 安全更新，谁在乎？ （不是我最喜欢的解决方案......但这是常见做法，因为它是默认行为吗？）

最佳做法是什么？

Answer 1

我通常在Dockerfile的开头加上apt-get升级。每月一次我发布--no-cache版本。我还发出了我的容器派生的图像的docker pull。例如docker pull ubuntu:xenial

如果你使用Jenkins，每月就可以轻松完成一次工作来完成上述任务。

unattended-upgrade选项看起来很有趣。让我们看一下答案是否包含它作为选项。

问候