Jibを使ってJavaコンテナイメージをビルドする

著者

2021年8月17日

0 分で読めます

コンテナイメージを少しでも扱ったことがあれば、イメージを構築する手順をレイヤーごとに記述した、よく知られたファイル、Dockerfileをご存じでしょう。Dockerfileを使わずにOCI準拠のイメージをビルドできるツールが増えていることをご存じですか？この記事では、Dockerfileを正しく記述する手間をかけずに最適化されたイメージをビルドできる、100% JavaベースのツールJibを紹介します。

イメージの構築方法とDockerfileの基本はすでにご存じだという前提で進めます。Dockerfileを初めて使う方は、コンテナイメージのビルドについて詳しく解説した、私の開発者主導のワークフローに関する記事をご覧ください。

課題

Java開発者であれば、アプリケーションのコードベースやライブラリの依存関係に加えて、対象とするJDKやJVMも把握していることでしょう。ベースにするWebアプリケーションサーバーのバージョンや、ガベージコレクターのチューニング、データベース接続などのランタイム設定も含まれるかもしれません。一方、これまで対応する必要がなかったのは、パッケージのインストール、ファイルシステムの権限、実行時に使うUID/GIDといったOSレベルの懸念事項や、その他の設定詳細ではないでしょうか。こうした設定は従来、プラットフォームを提供する運用チームやセキュリティチームが担当していました。

コンテナランタイムやその上で動作するオーケストレーションシステムの普及に伴い、こうした低レベルの懸念事項の多くが、アプリケーションやサービスのコードリポジトリに含まれるInfrastructure as Code（IaC）の設定ファイルという形で、開発チームの担当範囲に移りつつあります。これらのファイルには、KubernetesのYAML、TerraformのHCL、CloudFormationのJSON、そしてもちろん、アプリケーションの実行環境となるコンテナイメージの構造を定義するDockerfileなど、さまざまな形式があります。

アプリケーションをイメージにパッケージ化してコンテナで実行すること自体は、通常それほど難しくありません。しかし、イメージの構成が適切で、最適化され、安全であり、組織の標準に準拠していることを確認するのは簡単ではありません。開発者には、OSレベルのスキャンツールやイメージのラベル付け標準、最新のDockerfileのベストプラクティスなど、担当すべきことが次々と増えています。HadolintやDockle、そして当社のSnyk Containerなどの静的解析・スキャンツールは、こうした作業に役立ちます。では、こうした新たな要件や定型作業の大半、あるいはすべてを自動化できるとしたらどうでしょうか？

Jibの登場：100% Javaベースのコンテナイメージビルドツール

Jibは、Dockerfileもコンテナランタイムも不要で、OCI（Docker v2）準拠のコンテナイメージをビルドできる、オープンソースの100% Javaツールです。単体のCLIツールとしても利用できますが、一般的にはMavenまたはGradleのビルドステップ用プラグインとして使います。プラグインを使えば、Javaの成果物であるmvnやgradleのビルドコマンドを実行するだけで、.jar、.warなどの成果物に加えて、コンテナでアプリケーションをすぐに実行できるOCIイメージをビルドし、必要に応じてデプロイできます。

Spring BootアプリケーションにJibを追加するには、Mavenのpom.xmlファイルにこのXMLを記述し（ドキュメント全文はこちら）、mvn packageコマンドを再実行するだけです。ここではコンテナイメージの配置先をいくつか指定できます。この例では、後で実行に使うイメージレジストリにデプロイしますが、ローカルの**.**tarファイルに出力したり、Dockerデーモンが稼働していてアクセス可能な場合は、Dockerのローカルイメージキャッシュに保存したりすることもできます（Dockerでビルドした場合と同様です）。

1<build>
2<plugins>
3...
4<plugin>
5<groupId>com.google.cloud.tools</groupId>
6<artifactId>jib-maven-plugin</artifactId>
7<version>3.1.1</version>
8<configuration>
9<to>
10<image>reg.mycorp.com/smalls/spring-goof</image>
11</to>
12</configuration>
13<executions>
14<execution>
15<phase>package</phase>
16<goals>
17<goal>build</goal>
18</goals>
19</execution>
20</executions>
21</plugin>
22...
23</plugins>
24</build>

1$mvn package
2...
3[INFO] --- jib-maven-plugin:3.1.1:build (default) @ spring-goof ---
4[WARNING] 'mainClass' configured in 'maven-jar-plugin' is not a valid Java class: ${start-class}
5[INFO] 
6[INFO] Containerizing application to localhost:5000/spring-goof...
7[WARNING] Base image 'adoptopenjdk:8-jre' does not use a specific image digest - build may not be reproducible
8[WARNING] The credential helper (docker-credential-desktop) has nothing for server URL: localhost:5000
9[WARNING] 
10Got output:
11
12credentials not found in native keychain
13
14[WARNING] Cannot verify server at https://localhost:5000/v2/. Attempting again with no TLS verification.
15[WARNING] Failed to connect to https://localhost:5000/v2/ over HTTPS. Attempting again with HTTP.
16[INFO] The base image requires auth. Trying again for adoptopenjdk:8-jre...
17[WARNING] The credential helper (docker-credential-desktop) has nothing for server URL: registry-1.docker.io
18[WARNING] 
19Got output:
20
21credentials not found in native keychain
22
23[WARNING] The credential helper (docker-credential-desktop) has nothing for server URL: registry.hub.docker.com
24[WARNING] 
25Got output:
26
27credentials not found in native keychain
28
29[INFO] Using credentials from Docker config (/Users/eric/.docker/config.json) for adoptopenjdk:8-jre
30[INFO] Using base image with digest: sha256:117fae95422c19f1c1ddfb0f869913c1d934547e8eb903738a9fd2c3ad11a207
31[INFO] 
32[INFO] Container entrypoint set to [java, -cp, /app/resources:/app/classes:/app/libs/*, org.snyk.groceries.SpringGoofApplication]
33[INFO] 
34[INFO] Built and pushed image as localhost:5000/spring-goof
35[INFO] Executing tasks:
36[INFO] [==============================] 100.0% complete
37[INFO] 
38[INFO] ------------------------------------------------------------------------
39[INFO] BUILD SUCCESS
40[INFO] ------------------------------------------------------------------------
41[INFO] Total time:  11.169 s
42[INFO] Finished at: 2021-06-28T14:43:49-05:00
43[INFO] ------------------------------------------------------------------------

注：上記の出力には興味深い「警告」行がいくつかあります。これについては後ほど説明します。

コンテナランタイムがインストールされたマシンで、次のコマンドを実行してコンテナを起動します：docker run --rm -it -p 8080:8080 myimage:tag

1$ docker run --rm -it -p8080:8080 reg.mycorp.com/smalls/spring-goof
2Unable to find image reg.mycorp.com/smalls/spring-goof:latest' locally
3latest: Pulling from spring-goof
4c549ccf8d472: Pull complete 
5bd7766c75e8f: Pull complete 
67e80a3d8823a: Pull complete 
7a7321fbff05c: Pull complete 
805d4865ff251: Pull complete 
9e8d1ce8a5389: Pull complete 
10bc56aad8a781: Pull complete 
11Digest: sha256:74710d3c27ad84cb594b84a519c111a2b04a611ca52ac81f644e3ab5e15d0063
12Status: Downloaded newer image for reg.mycorp.com/smalls/spring-goof:latest
13
14  .   ____          _            __ _ _
15 /\\ / ___'_ __ _ _(_)_ __  __ _ \ \ \ \
16( ( )\___ | '_ | '_| | '_ \/ _` | \ \ \ \
17 \\/  ___)| |_)| | | | | || (_| |  ) ) ) )
18  '  |____| .__|_| |_|_| |_\__, | / / / /
19 =========|_|==============|___/=/_/_/_/
20 :: Spring Boot ::        (v1.5.5.RELEASE)
21
222021-06-28 19:54:51.550  INFO 1 --- [           main] o.snyk.groceries.SpringGoofApplication   : Starting SpringGoofApplication on beaa3641ca38 with PID 1 (/app/classes started by root in /)

Gradleをお使いの場合は、build.gradleファイルで同じことを行う方法について、公式ドキュメントをご覧ください。

これだけです。イメージをビルドするのにDockerfileや追加のツールは必要ありません。Javaの成果物のビルドに使っているツールだけで済みます。開発者の負担が軽くなるだけでなく、Dockerソケットを公開したり、他のビルドツールを管理したりする必要がないため、CIビルドエージェントのサポートも大幅に簡単になります。

イメージの詳細を見る

イメージのビルドは簡単になりましたが、私が初めて見たときと同じように、こんな疑問が浮かぶかもしれません……

Jibはどのようにイメージをビルドするのか？

他のイメージビルドツールと同様に、JibはJavaランタイム、アプリケーション、そのすべての依存関係を含むファイルシステムレイヤーと、コンテナエンジンがJVMの起動方法を把握するためのメタデータを作成します。

この例のレイヤー情報を、docker image historyコマンドで確認してみましょう：

1$ docker image history localhost:5000/spring-goof:latest 
2IMAGE          CREATED        CREATED BY                                      SIZE      COMMENT
34c125b59f147   51 years ago   jib-maven-plugin:3.1.1                          79B       jvm arg files
4<missing>      51 years ago   jib-maven-plugin:3.1.1                          6.36kB    classes
5<missing>      51 years ago   jib-maven-plugin:3.1.1                          0B        resources
6<missing>      51 years ago   jib-maven-plugin:3.1.1                          30MB      dependencies
7<missing>      10 days ago    /bin/sh -c #(nop)  ENV JAVA_HOME=/opt/java/o…   0B        
8<missing>      10 days ago    /bin/sh -c set -eux;     ARCH="$(dpkg --prin…   108MB     
9<missing>      10 days ago    /bin/sh -c #(nop)  ENV JAVA_VERSION=jdk8u292…   0B        
10<missing>      10 days ago    /bin/sh -c apt-get update     && apt-get ins…   43.2MB    
11<missing>      10 days ago    /bin/sh -c #(nop)  ENV LANG=en_US.UTF-8 LANG…   0B        
12<missing>      10 days ago    /bin/sh -c #(nop)  CMD ["bash"]                 0B        
13<missing>      10 days ago    /bin/sh -c #(nop) ADD file:920cf788d1ba88f76…   72.7MB    

最初の4つのレイヤーのCREATEDの日付がすべて「51年前」と表示されていることに注目してください。これは、同じコードベースからのビルドでまったく同じレイヤーハッシュを生成することを目指す、Jibの再現可能なビルド戦略によるものです。詳しくは、FAQをご覧ください。

レイヤーのコメントを見ると、AdoptOpenJDKのデフォルトのベースイメージ（詳細は後述）から複数のレイヤーがあり、その後に次のレイヤーが続いていることがわかります：

Maven/Gradleファイルで定義されたライブラリの依存関係
リソースファイル
コンパイル済みアプリケーションコードのクラスファイル
Java JVMの引数ファイル

オープンソースツールdiveを使って、さらに詳しく各レイヤーに含まれるファイルを見てみましょう：

依存関係

このレイヤーには、すべての.jarファイルが/app/libsフォルダーに追加されています。

1│ Layers ├──────────────────────────────────────────────────────────────────── ┃ ● Current Layer Contents ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
2Cmp   Size  Command                                                            Permission     UID:GID       Size  Filetree
3     73 MB  FROM 679f8666b5733b3                                               drwxr-xr-x         0:0      30 MB  └── app
4     43 MB  apt-get update     && apt-get install -y --no-install-recommends t drwxr-xr-x         0:0      30 MB      └── libs
5    108 MB  set -eux;     ARCH="$(dpkg --print-architecture)";     case "${ARC -rw-r--r--         0:0     445 kB          ├── antlr-2.7.7.jar
6     30 MB  jib-maven-plugin:3.1.1                                             -rw-r--r--         0:0     1.9 MB          ├── aspectjweaver-1.8.10.jar
7       0 B  jib-maven-plugin:3.1.1                                             -rw-r--r--         0:0      65 kB          ├── classmate-1.3.3.jar
8    6.4 kB  jib-maven-plugin:3.1.1                                             -rw-r--r--         0:0     314 kB          ├── dom4j-1.6.1.jar
9      79 B  jib-maven-plugin:3.1.1                                             -rw-r--r--         0:0      13 kB          ├── evo-inflector-1.2.2.jar
10                                                                               -rw-r--r--         0:0     1.8 MB          ├── h2-1.4.196.jar
11│ Layer Details ├───────────────────────────────────────────────────────────── -rw-r--r--         0:0      75 kB          ├── hibernate-commons-annotations-5
12                                                                               -rw-r--r--         0:0     5.6 MB          ├── hibernate-core-5.0.12.Final.jar
13Tags:   (unavailable)                                                          -rw-r--r--         0:0     612 kB          ├── hibernate-entitymanager-5.0.12.
14Id:     da844eca910f44e825c72121f4ec9700b3c9eec8d4c2407f926cdad0799b33e8       -rw-r--r--         0:0     113 kB          ├── hibernate-jpa-2.1-api-1.0.0.Fin
15Digest: sha256:0862e7d5215a0ec2cf7d5a8864a5a0439d9c70c39b14cdc6c38f41487ca8f23 -rw-r--r--         0:0     726 kB          ├── hibernate-validator-5.3.5.Final
16Command:                                                                       -rw-r--r--         0:0      56 kB          ├── jackson-annotations-2.8.0.jar
17jib-maven-plugin:3.1.1                                                         -rw-r--r--         0:0     283 kB          ├── jackson-core-2.8.9.jar
18

リソース

ここには/app/resourcesと、リソースフォルダー内の関連ファイルがすべて含まれています。

1┃ ● Layers ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ │ Current Layer Contents ├────────────────────────────────────────────────────
2Cmp   Size  Command                                                            Permission     UID:GID       Size  Filetree
3     73 MB  FROM 679f8666b5733b3                                               drwxr-xr-x         0:0        0 B  └── app
4     43 MB  apt-get update     && apt-get install -y --no-install-recommends t drwxr-xr-x         0:0        0 B      └── resources
5    108 MB  set -eux;     ARCH="$(dpkg --print-architecture)";     case "${ARC -rw-r--r--         0:0        0 B          ├── application.properties
6     30 MB  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0        0 B          └── org                     
7       0 B  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0        0 B              └── snyk           
8    6.4 kB  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0        0 B                  └── groceries
9      79 B  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0        0 B                      ├── domain     
10                                                                               drwxr-xr-x         0:0        0 B                      └── repository
11│ Layer Details ├─────────────────────────────────────────────────────────────                                                                               
12
13Tags:   (unavailable)                                                                                                                                        
14Id:     7891783fbddf2ac3f624ecdea6fd7d51efa476bf87b82a3a1da2517167a7812a                                                                                     
15Digest: sha256:bc7cee3aeb381d0b453212f345eaf34f55613c2dbb988af22f626877f4ecc89                                                                               
16Command:                                                                                                                                                   
17jib-maven-plugin:3.1.1                                              
18

クラス

ビルドのコンパイルフェーズで生成された.classファイルは、このレイヤーの/app/classesにあります。

1┃ ● Layers ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ │ Current Layer Contents ├────────────────────────────────────────────────────
2Cmp   Size  Command                                                            Permission     UID:GID       Size  Filetree
3     73 MB  FROM 679f8666b5733b3                                               drwxr-xr-x         0:0     6.4 kB  └── app
4     43 MB  apt-get update     && apt-get install -y --no-install-recommends t drwxr-xr-x         0:0     6.4 kB      └── classes  
5    108 MB  set -eux;     ARCH="$(dpkg --print-architecture)";     case "${ARC drwxr-xr-x         0:0     6.4 kB          └── org                   
6     30 MB  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0     6.4 kB              └── snyk                
7       0 B  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0     6.4 kB                  └── groceries  
8    6.4 kB  jib-maven-plugin:3.1.1                                             -rw-r--r--         0:0     3.3 kB                      ├── SpringGoofApplicati
9      79 B  jib-maven-plugin:3.1.1                                             drwxr-xr-x         0:0     1.7 kB                      ├── domain     
10                                                                               -rw-r--r--         0:0     1.7 kB                      │   └── Item.class
11│ Layer Details ├───────────────────────────────────────────────────────────── drwxr-xr-x         0:0     1.3 kB                      └── repository         
12                                                                               -rw-r--r--         0:0     1.3 kB                          └── ItemRepository.
13Tags:   (unavailable)                                                                                                                                        
14Id:     5d4509a5f5856f5d6de92ed621d301861fccf414f9088d0c81e47572f48e4194                                                                                     
15Digest: sha256:778c99f6b1c637ab73e3fff99e933d6d6a8d247f9849d2695066c4f2e823ee7                                                                               
16Command:                                                                                                                                                   
17jib-maven-plugin:3.1.1  

JVM引数ファイル

1┃ ● Layers ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ │ Current Layer Contents ├────────────────────────────────────────────────────
2Cmp   Size  Command                                                            Permission     UID:GID       Size  Filetree
3     73 MB  FROM 679f8666b5733b3                                               drwxr-xr-x         0:0       79 B  └── app
4     43 MB  apt-get update     && apt-get install -y --no-install-recommends t -rw-r--r--         0:0       39 B      ├── jib-classpath-file
5    108 MB  set -eux;     ARCH="$(dpkg --print-architecture)";     case "${ARC -rw-r--r--         0:0       40 B      └── jib-main-class-file       
6     30 MB  jib-maven-plugin:3.1.1                                                                                                                    
7       0 B  jib-maven-plugin:3.1.1                                                                                                               
8    6.4 kB  jib-maven-plugin:3.1.1                                                                                                                           
9      79 B  jib-maven-plugin:3.1.1                                                                                                                   
10
11│ Layer Details ├─────────────────────────────────────────────────────────────                                                                               
12
13Tags:   (unavailable)                                                                                                                                        
14Id:     22877091a2de894cac9070c121b116e5d3247b3a4f81774032c0698bf6a2de2f                                                                                     
15Digest: sha256:d8a8afa0a3d1efdb00b38b28e3dd075342c0dc65e52977e56dd3f21c277ae94                                                                               
16Command:                                                                                                                                                   
17jib-maven-plugin:3.1.1             

最後に、コンテナ内でJVMを起動する際に使う引数を含むファイルがいくつか、最上位の/appフォルダーにあります。この例では、これら2つのファイルの内容を確認すると、ランタイムのクラスパスとメインクラスの情報がわかります。

1# cat jib-classpath-file
2/app/resources:/app/classes:/app/libs/*
3
4# cat jib-main-class-file
5org.snyk.groceries.SpringGoofApplication

注：Maven/Gradleビルドの構成によっては、Jibで生成したイメージにさらにレイヤーが含まれる場合があります。その他のレイヤーについては、Jib FAQをご覧ください。

Jibが使用するベースイメージは？独自のイメージを使う必要がある場合は？

デフォルトでは、JibはJARファイルのビルドにDockerHub公式のadoptopenjdk:jre-8ベースイメージを、WARのビルドにはDockerHub公式のjettyベースイメージを使います。プラグイン設定で変更できます。必要に応じて独自のENTRYPOINT, USERなどを設定する方法を含め、詳細は公式ドキュメントをご覧ください。同じドキュメントでは、独自のベースイメージを設定し、特定のハッシュを使ってビルドの再現性を確保することが望ましい理由も説明しています。多くの組織では、セキュリティチームや運用チームが監査・強化した、開発チームが使用を義務付けられている「承認済み」のベースイメージが社内に用意されています。Mavenのpom.xmlを変更してそのようなイメージを使う例を紹介します。

1<build>
2<plugins>
3...
4<plugin>
5...
6<configuration>
7<from>
8<image>reg.mycorp.com/smalls-base/openjdk:8u292-2021.7.4</image>
9</from>
10...
11</configuration>
12...
13</plugin>
14...
15</plugins>
16</build>

標準化されたイメージラベルなど、その他の設定にも対応しています。たとえば、組織で次のラベルをすべてのイメージに含めることが求められているとします：

ソースコードのGit URL
GitのコミットID/ハッシュ
Mavenプロジェクトのビルドバージョン

pom.xmlからこれらのデータにアクセスできる場合、ラベルを追加するJibプラグインの設定はとても簡単です：

1<build>
2<plugins>
3...
4<plugin>
5...
6<configuration>
7...
8<container>
9<labels>
10<git.remote.origin.url>${git.remote.origin.url}</git.remote.origin.url>
11<git.commit.id>${git.commit.id}</git.commit.id>
12<mvn.build.version>${project.version}</mvn.build.version>
13</labels>
14</container>
15...
16</configuration>
17...
18</plugin>
19...
20</plugins>
21</build>

作成したイメージを確認すると、DockerfileのLABELS行で追加した場合と同じようにラベルが適用されています（ここでは便利なコマンドラインツールjqを使って、応答から該当する配列だけを取り出しています）。

1$ docker image inspect reg.mycorp.com/smalls/spring-goof:latest | jq .[].Config.Labels
2{
3  "git.commit.id": "960d768e9739ffb8e9a503c9ad3f6dad86ac68b1",
4  "git.remote.origin.url": "git@github.com:mycorp-dev/spring-goof.git",
5  "mvn.build.version": "0.0.1-SNAPSHOT"
6}

こうした標準設定の複雑さをすべて、<pluginManagement>やその他の一般的なMaven設定を使って親POMで定義することを想像してみてください。開発者は定型的なXMLを気にしたり、目を通したりする必要がなくなり、アーキテクトは各チームに負担をかけずに、組織全体の標準を適用し、更新できるようになります。

セキュリティを確保するには？

Dockerfileのような汎用的なイメージビルドツールを使う際の課題の1つは、パッケージのインストールやADDによる不特定のWebサーバーからのファイルのダウンロードなど、ビルドの過程でほぼ何でもできてしまうことです。そのため、レビューして精査が必要な手順が数多く発生します。Jibでは、こうした選択の多くが自動的に適用されます。また、上書きするには、依存関係やその他のビルド設定の変更と同じように、コードレビューで明確にわかるMaven/Gradle設定の変更が必要です。

セキュリティスキャンに関して、Snyk Containerの優れた機能の1つは、脆弱性の少ないベースイメージを推奨できることです。現在では、イメージのベースを特定するためのDockerfileがなくても、この機能を利用できます。つまり、JibやDockerfileを使わない他のツールでビルドされたイメージも、同じ推奨を活用できます。

ご自身のJavaコンテナをスキャンして試してみたい場合は、無料アカウントを作成し、Snykのスキャンツールのインストール手順をご確認ください。

この例では、ベースイメージをopenjdk:8u121-jreに設定してmvn packageを実行し、イメージをノートパソコンにプルしました。次にsnyk container testを実行してスキャンします。

1$ snyk container test localhost:5000/spring-goof:latest
2
3Testing localhost:5000/spring-goof:latest...
4
5... (a bunch of scan results removed here) ...
6
7Organization:      mycorp-snyk-org
8Package manager:   deb
9Project name:      docker-image|reg.mycorp.com/smalls/spring-goof:latest
10Docker image:      reg.mycorp.com/smalls/spring-goof:latest
11Platform:          linux/amd64
12Base image:        openjdk:8u181-jre-stretch
13Licenses:          enabled
14
15Tested 261 dependencies for known issues, found 410 issues.
16
17Base Image                 Vulnerabilities  Severity
18openjdk:8u181-jre-stretch  410              149 high, 91 medium, 170 low
19
20Recommendations for base image upgrade:
21
22Minor upgrades
23Base Image             Vulnerabilities  Severity
24openjdk:8-jre-stretch  205              71 high, 36 medium, 98 low
25
26Major upgrades
27Base Image                  Vulnerabilities  Severity
28openjdk:11.0.5-jre-stretch  178              66 high, 28 medium, 84 low
29
30Alternative image types
31Base Image                         Vulnerabilities  Severity
32openjdk:17-ea-22-oraclelinux8      0                0 high, 0 medium, 0 low
33openjdk:16-jdk-oraclelinux7        0                0 high, 0 medium, 0 low
34openjdk:17-ea-27-jdk-oraclelinux7  0                0 high, 0 medium, 0 low
35openjdk:16-ea-29-jdk-oraclelinux8  0                0 high, 0 medium, 0 low

ご覧のとおり、スキャンではベースイメージとしてopenjdk:8u181-jre-stretch（openjdk:8u181-jreのエイリアスタグ）を自動検出し、410件の脆弱性が報告されました。また、ベースイメージを変更するための推奨も提示されます。軽微なバージョンアップから、問題が約半分の最新のopenjdk:8-jreタグ、さらには脆弱性がまったくない新しいJVMまで、幅広い選択肢があります。

つまり、使用中のイメージに存在する脆弱性を特定できるだけでなく、Dockerfileを1行も書かずに、新しいベースイメージを使って解決する方法も提案してもらえます。

まとめ

このようにJibを使えば、Dockerfileの構文を学んだり、使い慣れないツールをインストールしたりする必要がなくなり、Javaアプリケーションのコンテナ化が開発者にとって大幅に簡単になります。また、広く使われているMavenやGradleのプロジェクト階層機能を通じて、アーキテクトが標準化を管理するのにも役立ちます。JibはOCI準拠のイメージをビルドするため、Snyk Containerなどの業界標準ツールを活用して、アプリケーションを検査、デプロイ、実行できます。

Java以外のプロジェクトもサポートしている場合は、Buildah、Bazel、Earthlyや、BuildKit関連の各種プロジェクトなど、この分野の他のツールも検討してみてください。また、同僚のPas Apicellaが最近Cloud Native Build Packsについての記事を公開しました。ぜひお読みください。

無料アカウントに登録して、コンテナ、オープンソースの依存関係、IaCコードのテストを今すぐ始めましょう！

ソースコードの段階からインフラを保護

Snykはワークフロー内のIaCセキュリティとコンプライアンスを自動化し、構成ドリフトや不足しているリソースを検出します。

ライブデモを予約無料で始める

課題