Wie hältst du Container-Images klein und sicher?

Nutze Multi-Stage-Builds, damit Compiler und Build-Dependencies nie im finalen Image landen, starte von einer minimalen Base wie distroless oder slim und lauf als Non-Root-User. Ordne die Layer so, dass die Dependency-Installation getrennt vom Source cached, ergänze eine .dockerignore, pinne Base Images per Digest und scanne beim Build. Niemals Secrets als Build-Argumente übergeben, denn die bleiben in der Layer-Historie.

Bei der Größe machen zwei Dinge die Hauptarbeit: Multi-Stage-Builds und Layer-Reihenfolge. In einem vollen Image mit Toolchain bauen, dann nur den kompilierten Output in eine minimale Runtime kopieren, das bringt ein Image typischerweise von mehreren hundert Megabyte auf ein paar Dutzend. Die Reihenfolge zählt, weil die Dependency-Installation ein eigener Layer über dem Source-Copy sein sollte, sonst invalidiert jede Codeänderung den Cache und alles wird neu gebaut. Eine .dockerignore verhindert, dass das lokale git-Verzeichnis und node_modules überhaupt an den Daemon gehen. Für die Sicherheit laufe ich als Non-Root-User mit read-only Root-Dateisystem, wo die App das zulässt, pinne das Base Image per Digest, damit ein Rebuild reproduzierbar ist, und baue regelmäßig neu, damit Base-Patches ankommen, statt zu pinnen und zu vergessen. Scanning läuft in der Pipeline und schlägt bei behebbaren High-Severity-Findings fehl, und wir veröffentlichen eine SBOM mit dem Image, damit wir beim nächsten großen Advisory die Frage welche Services nutzen diese Library in Minuten beantworten können. Secrets kommen nie in Build-Args, die sind in der Historie sichtbar.