[Docker] 안전하고 최적화된 Dockerfile 만들기

안녕하세요.

오늘은 Dockerfile을 안전하고 최적화하여 만드는 방법을 알아보도록 하겠습니다.

 

들어가며

Docker는 Container화를 통해 애플리케이션의 개발 및 배포 방식에 엄청난 혁신을 가져온 도구입니다. 이 Container화의 기초에는 Dockerfile이 있습니다. Dockerfile은 Docker 이미지 생성을 자동화하는 표준화된 방식을 제공하며 이를 통해 애플리케이션의 구동 환경을 캡슐화할 수 있습니다. 이때 효율적이고 안정적인 배포를 위해서는 안전하고 최적화된 Dockerfile이 필수적입니다. 이 글에서는 안전하고 최적화된 Dockerfile을 만드는 방법을 천천히 알아보도록 하겠습니다.

Dockerfile이란?

Dockerfile은 텍스트 기반으로 된 문서 파일로 Docker 이미지를 빌드하기 위한 내용을 포함하고 있습니다. 이 내용에는 내부 환경을 정의하고 베이스 이미지, 종속성 및 실행을 위한 명령을 포함하고 있습니다. Dockerfile의 각 행은 Docker 이미지의 생성을 위해 순차적으로 실행됩니다.

Dockerfile의 중요성

Container화에서의 Dockerfile의 중요성

Dockerfile은 재현 가능하고 이식성 있는 Container 이미지를 만들어 이후 반복될 수 있는 과정을 간소화할 수 있습니다. 이를 통해 개발자는 애플리케이션을 실행하는 데 필요한 정확한 환경을 정의하여 다양한 환경에서의 배포 시에도 일관성을 보장할 수 있습니다.

안전한 Dockerfile의 중요성

안전하지 않은 Dockerfile은 Container화 된 애플리케이션에 무단 액세스, 데이터 유출 및 시스템 침해와 같은 취약점에 노출될 수 있습니다. 악의적인 사용자가 이러한 취약점을 악용하여 시스템과 데이터를 손상시킬 수 있습니다

최적화된 Dockerfile의 중요성

최적화된 Dockerfile은 빌드 성능을 향상시키고 이미지 크기를 줄여 생산성을 높이는데 중요한 역할을 합니다. 이를 통해 개발자는 애플리케이션 배포 과정을 단순화하고 가속화할 수 있습니다.

 

안전한 Dockerfile을 만들어 보자

안전한 Dockerfile을 만드는 첫 번째 단계는 안전한 베이스 이미지 선택입니다. 안전한 베이스 이미지는 신뢰할 수 있는 기관에서 유지 관리하는 최소한의 공식 기본 이미지를 선택하는것이 좋습니다. 사용자가 임의로 수정한 기본 이미지는 절대적으로 필요한 경우에만 사용해야 하며, 지속적인 유지 관리 및 보안 패치가 필요하기 때문에 추가적인 공격 취약점에 스스로 대비하여야 할 수 있습니다.

최소한의 베이스 이미지 선택

애플리케이션의 요구사항에 적합한 베이스 이미지를 선택하는 것은 정말 중요합니다. 하지만 사용하지 않는 부분까지 담겨있는 베이스 이미지는 Dockerfile의 이미지 크기만 증가시키게 됩니다. 예를 들어, Python 기반의 애플리케이션인 경우, 일반적인 Linux 계열의 이미지가 아닌 Python 기반의 이미지를 선택하는 것이 좋습니다.

정기적인 내부 패키지 업데이트

Dockerfile 내에서 RUN apt-get update && apt-get upgrade -y와 같은 명령을 사용하여 베이스 이미지를 유지 관리하는 것이 좋습니다. 이를 통해 Docker 이미지에 최신 보안 패치와 버그 수정 사항이 포함되어 안전함을 더할 수 있습니다.

사용자 권한 최소화

RUN 명령어를 root 권한이 아닌 사용자 다른 사용자로 실행
최소한 권한만 있는 User를 생성하여 해당 User로만 애플리케이션이 실행되도록 하는 것을 권장합니다. 이를 통해 악용 가능한 공격 범위를 줄일 수 있습니다.

파일 및 디렉토리 권한 최소화

파일 및 디렉토리 권한은 컨테이너 내에서 누가 액세스하고 수정할 수 있는지 결정합니다. 적절한 권한을 설정하는 것은 컨테이너 보안을 유지하는 데 중요합니다.

COPY 명령어와 함께 적절한 권한 사용
COPY 명령어를 사용하여 파일을 컨테이너에 복사할 때 원하는 파일 권한을 지정하는 것이 좋습니다.

COPY --from=builder /app/config.json:0644 /app

또는

COPY --from=builder --chmod=644 /app/config.json /app/config.json

CHOWN 명령어를 사용하여 소유권 설정
CHOWN 명령어를 사용하여 컨테이너 내 파일 및 디렉터리의 소유권을 설정할 수 있습니다.  

CHOWN -R <username>:<group> /app

최적화된 Dockerfile을 만들어 보자

멀티 스테이징 빌드 

멀티 스테이징 빌드 방법은 도커 이미지 크기 및 빌드 시간을 최적화하는 강력한 기법 중 하나입니다.

빌드 및 런타임 단계 분리
멀티 스테이징 빌드에서 첫 번째 단계는 애플리케이션 빌드에 관련된 설치에 중점을 둡니다. 컴파일러 또는 빌드에 필요한 도들을 직접 빌드하거나 내려받아 빌드를 위한 준비단계로 사용할 수 있습니다. 첫 번째 단계에서 필요한 도구들을 이후 단계로 파일만 복사하여 사용하는 전략을 사용하면 더 작고 효율적인 이미지를 만들 수 있습니다.

레이어 캐싱을 통한 빠른 빌드
Docker는 빌드 프로세스 중에 중간 레이어를 캐싱합니다. 멀티 스테이징 빌드를 활용하면 빌드 단계를 분리하여 빌드 단계와 런타임 단계를 분리할 수 있습니다. 예를 들어, 애플리케이션 코드 변경 시에는 빌드 단계에만 영향을 미치고 런타임 이미지는 캐시 된 상태로 유지되기 때문에 이후 처음 빌드 후 빌드가 훨씬 빠르게 진행됩니다.

이미지 크기 최소화

큰 파일 크기의 Docker 이미지는 배포 시 번거롭고 누군가에겐 작고 소중한 저장 공간을 낭비할 수 있습니다. 

불필요한 패키지 및 파일 제거
베이스 이미지 및 애플리케이션과의 종속성을 꼼꼼히 살펴보고 불필요한 패키지 또는 파일을 제거하는 게 좋습니다. apt-get clean, apt-get autoremove와 같은 명령을 사용하면 Debian 기반 시스템에서 이 과정을 진행하실 수 있습니다.

다중행을 사용하여 하나의 명령어로 작성
Dockerfile은 여러 줄을 사용한 명령을 지원하며, 각 줄 끝에 백슬래시 (\)를 사용하여 명령을 연결할 수 있습니다. 이를 통해 길고 복잡한 명령을 간결하게 작성하고 이미지 크기를 줄일 수 있습니다. 참고로 RUN 명령은 명령마다 개별 이미지를 만들어 이미지 크기를 키웁니다.

 

.dockerignore를 통해 불필요한 파일이 포함되지 않도록 설정
불필요한 테스트 코드나 민감한 정보가 들어있는 파일은 이미지에 포함되지 않도록 하여 이미지 크기도 줄이고 안전한 이미지를 만들 수 있습니다.

RUN apt-get update && \
    apt-get install -y \
    python3-pip \
    build-essential \
    && \
    pip install -r requirements.txt​

위와 같이 백슬레시를 사용해 여러 줄의 명령을 사용할 수 있습니다.

Dockerfile을 만들 때 피해야 할 명령들

아래의 명령들은 이미지의 용량이 커지고 빌드시간도 늘어나 비효율적입니다. 

불필요한 패키지 설치
대용량 파일의 무차별 복사
중복 명령 실행

 

결론

안전하고 최적화된 Dockerfile의 제작은 Container화 된 애플리케이션을 개발하고 배포하는 데 중요한 역할을 합니다. 위에 본문에서 다룬 방법들을 적용한다면 안전하고 성능이 좋은 Docker 이미지를 구축할 수 있을 것이며 배포 시간 또한 단축할 수 있어 개발자에게는 생산성을 높이는 데에도 한몫을 할 것입니다. 추가적으로는 보안에 있어서 위험을 최소화할 수 있습니다. 다만, 보안은 꾸준히 확인해야 하는 과정이라는 것을 꼭 명심하셨으면 좋겠습니다. 안전하다고 해서 100% 안전하지 않을 수 있기 때문에 Dockerfile을 정기적으로 확인하고 업데이트를 통해 조금이라도 보안성을 향상시키는 것을 권장드립니다.

 

100%는 존재하지 않습니다.
최소한 저는 이 분야에 있어서는 그렇게 생각하는 편입니다.

 

마치며

Dockerfile을 만들어야 할 상황이 생겨서 웹서핑을 통해 메모한 내용들을 모아 하나의 글로 정리하여 작성해 보았습니다. Dockerfile을 이제 만들어야 할 개발자나 기존에 만들어서 사용하던 개발자 모두에게 도움이 되었으면 좋겠습니다. 

 

긴 글 읽어주셔서 감사합니다.

 

레퍼런스

Docker.docs

Dockerfile Best Practices