jib - 为什么 Jib 放弃了对 distroless 基础镜像的支持？

Question

看起来像是从 Jib 3.0 开始的；您不再有 Java 应用程序的默认 distroless 映像。相反，如果您不指定一个，您将获得一个采用Openjdk 基础镜像。您仍然可以按照此链接配置和使用 distroless 基础映像。我只是想知道采用 OpenJDK 映像是否比 distroless 更安全、更苗条？有什么好处？

标签： jibmaven-jib

Answer 1

Jib 团队正在维护用于 distroless 的 Java 特定映像。distroless 从中获取软件包的 Debian 从 Debian10 开始放弃了对 Java8 的支持。Java8 构建使用了 Debian9 依赖项（已过时），这导致容器映像中有许多 CVE。对于需要 Java8 的用户（大量 jib 用户）来说，这是一个问题，而目前 Jib 团队没有足够的带宽来为 distroless 组合一个高质量的 Java8 产品。

将默认设置切换为采用openjdk，为用户提供由采用OpenJDK 人员一致维护的图像。

这并不是对 Distroless 的打击，它仍然是一个很棒的项目，但是缺乏资源和复杂的 Java 情况导致我们来到这里。Distroless 是一个开源项目，任何愿意为 Java8 创建或更新工作流的人都可以直接做出贡献。据我所知，基于 Debian10 软件包的无发行版 Java11 映像仍然可用，如果您愿意，可以将其用作基础映像。