Container Registry

Üç sebeple. Genel registry'ler indirme sayısına sınır koyabilir ve bu sınır en kötü anda, yoğun bir dağıtım sırasında karşınıza çıkar. İkincisi kendi imajlarınızın dışarıda durmasını istemeyebilirsiniz. Üçüncüsü üretim dağıtımınızın dış bir servisin erişilebilirliğine bağlı kalmasıdır; kendi registry'nizde bu bağımlılık ortadan kalkar.

Hayır, aksi halde hiçbir imaj geçemez. Pratik yaklaşım, kritik ve yüksek seviyeli açıklarda dağıtımı durdurmak, düşük seviyelileri raporlamakla yetinmektir. Açıkların büyük kısmı uygulama kodundan değil temel imajdan gelir; bu yüzden en hızlı kazanç, temel imajı güncel ve küçük tutmaktır.

Çünkü latest sabit değildir, işaret ettiği içerik zamanla değişir. Aynı manifest ile iki farklı düğümde iki farklı sürüm çalışabilir ve bir arıza anında hangi sürümün yayında olduğunu söyleyemezsiniz. Sürüm etiketi kullanmak, kritik ortamlarda ise doğrudan içerik özetine sabitlemek doğru olanıdır.

İmzalama, imajın sizin pipeline'ınızdan çıktığını kriptografik olarak kanıtlar. Cluster tarafında imzasız imajların çalıştırılmasını engelleyen bir politika kurulduğunda, registry ele geçirilse bile araya sokulan sahte bir imaj dağıtıma giremez. İmzalama tek başına değil, bu politikayla birlikte anlam kazanır.

İmajlar katmanları paylaştığı için toplam boyut sanıldığı kadar hızlı büyümez, ama her derlemede üretilen etiketler birikir. Çözüm saklama politikası tanımlamaktır: kaç sürüm geriye kadar tutulacağı ve etiketsiz kalan katmanların ne zaman temizleneceği baştan belirlenir.