container images को छोटा और सुरक्षित कैसे रखते हैं?

multi stage builds इस्तेमाल करें ताकि compilers और build dependencies फाइनल image तक पहुंचें ही नहीं, distroless या slim जैसे न्यूनतम base से शुरू करें, और non root यूज़र के तौर पर चलाएं। layers ऐसे क्रम में रखें कि dependency installation source से अलग cache हो, .dockerignore जोड़ें, base images को digest से pin करें, और build पर scan करें। secrets कभी build arguments में न भेजें, क्योंकि वे layer history में बने रह जाते हैं।

साइज़ के लिए असली काम दो चीज़ें करती हैं: multi stage builds और layer ordering। toolchain वाली पूरी image में build कीजिए, फिर सिर्फ compiled output को एक न्यूनतम runtime में copy कीजिए, इससे आमतौर पर image कई सौ मेगाबाइट से घटकर दहाई में आ जाती है। क्रम इसलिए मायने रखता है कि dependency install source copy के ऊपर अपनी अलग layer होनी चाहिए, वरना हर कोड बदलाव cache तोड़कर सब कुछ दोबारा build करा देता है। .dockerignore लोकल git डायरेक्टरी और node modules को daemon तक जाने ही नहीं देता। सिक्योरिटी के लिए मैं non root यूज़र से चलाता हूं और जहां ऐप इजाज़त दे वहां read only root filesystem रखता हूं, base image को digest से pin करता हूं ताकि rebuild reproducible रहे, और नियमित rebuild करता हूं ताकि base के patches आते रहें, pin करके भूल जाना ठीक नहीं। scanning पाइपलाइन में चलती है और जिन high severity findings का fix मौजूद है उन पर fail होती है, और image के साथ हम SBOM पब्लिश करते हैं ताकि अगली बड़ी advisory आने पर यह सवाल कि इस लाइब्रेरी को कौन सी सर्विसेज़ इस्तेमाल करती हैं, मिनटों में जवाब पा सके। secrets कभी build args में नहीं जाते; वे history में दिखते हैं।