Satuan
1. Pengantar DevOps dan Cloud AI: Peran, Batasan, Otentikasi, Keamanan, dan Rahasia 2. Merancang Saluran CI/CD dengan Kecerdasan Buatan: GitHub Actions dan GitLab CI 3. Mengelola Infrastruktur sebagai Kode: Kecerdasan Buatan dengan Terraform dan IaC 4. Kontainerisasi: Dockerfile dan Optimasi Gambar dengan Kecerdasan Buatan 5. Kubernetes: Manifest, Helm, dan Orkestrasi yang Didukung AI 6. Pemantauan dan Observabilitas: Aturan Metrik, Log, Jejak, dan Alarm 7. Manajemen Insiden dan Postmortem: Analisis Akar Penyebab dengan Kecerdasan Buatan 8. Cloud Cost Optimization (FinOps): Berburu Sampah dengan Kecerdasan Buatan 9. Pembuatan Skrip dan Otomatisasi: Bash, Python, dan PowerShell 10. Manajemen Keamanan dan Rahasia: DevSecOps dan Kecerdasan Buatan 11. Verifikasi Produk, Strategi Rilis, dan Alur Kerja AI End-to-End
Satuan 4 / 11

Kontainerisasi: Dockerfile dan Optimasi Gambar dengan Kecerdasan Buatan

Keuntungan:

  • Kemampuan untuk memahami konsep container dan Dockerfile, instruksi dasar dan logika lapisan, serta memiliki kecerdasan buatan menghasilkan Dockerfile yang siap produksi
  • Kemampuan untuk mengurangi ukuran gambar dan meningkatkan kecepatan penerapan dan keamanan dengan pembangunan multi-tahap dan gambar dasar kecil
  • Kemampuan untuk menerapkan prinsip keamanan dengan tidak menyematkan rahasia pada gambar, menjalankannya dengan pengguna yang tidak sah, bukan root, dan memindai gambar

Kalimat "Itu sedang berjalan di komputer saya" adalah kalimat termahal dalam sejarah perangkat lunak. Kode yang sama meledak di server berbeda karena versi perpustakaan berbeda. Teknologi container memecahkan masalah ini dengan tepat: teknologi ini menempatkan aplikasi Anda dengan semua yang diperlukan untuk dijalankan — pustaka, runtime, pengaturan — ke dalam satu paket portabel. Paket ini berfungsi sama persis di mana pun. Alat kontainer yang paling umum adalah Docker.

Deskripsi kontainer disebut Dockerfile: ini adalah file teks yang menjelaskan urutan gambar dasar aplikasi Anda akan dimulai, file mana yang akan disalin, dan perintah mana yang akan dijalankan. Sebuah gambar dihasilkan dari resep ini; Ketika gambar dijalankan, itu menjadi sebuah wadah. AI sangat ahli dalam menulis Dockerfile dan — yang lebih penting — memperkecil dan mengamankannya. Namun tugas Anda adalah memahami fungsi resep yang dihasilkan dan di mana resep tersebut dapat membocorkan rahasia.

Instruksi dasar Dockerfile

Untuk mengaudit Dockerfile, Anda harus mengetahui instruksi dasar:

  • `FROM`: Memilih gambar dasar (misalnya python:3.12-slim). Di sinilah sebagian besar ukuran dan keamanan gambar berasal.
  • `WORKDIR`: Menentukan direktori kerja.
  • `COPY` / `ADD`: Menyalin file ke gambar.
  • `RUN`: Menjalankan perintah selama build (misalnya menginstal dependensi). Setiap RUN membuat layer baru.
  • `ENV`: Mendefinisikan variabel lingkungan.
  • `EXPOSE`: Dokumen di port mana container sedang mendengarkan.
  • `CMD` / `ENTRYPOINT`: Menentukan perintah yang akan dijalankan saat container dimulai.

Konsep penting adalah lapisan: Docker menyimpan setiap instruksi sebagai lapisan. Jika Anda meletakkan langkah-langkah yang sering berubah di akhir, lapisan yang tidak berubah akan berasal dari cache dan pembangunan akan semakin cepat.

Tip: Dua faktor terbesar untuk mengurangi ukuran gambar adalah: (1) memilih gambar dasar kecil seperti slim atau alpine; (2) menggunakan pembangunan multi-tahap - mengabaikan alat pembangunan pada satu tahap dan hanya memindahkan produk akhir ke gambar tipis. AI dapat dengan ahli mengimplementasikan keduanya kapan pun diinginkan.

Mengapa gambar kecil itu begitu penting? Karena ukuran gambar bukan hanya masalah disk. Image yang besar memerlukan waktu yang lebih lama untuk ditarik pada setiap deployment, memakan lebih banyak ruang di registry, memperlambat startup Pod baru seiring dengan peningkatan skalanya, dan karena image tersebut berisi lebih banyak paket, image tersebut menyediakan permukaan serangan yang lebih besar—yakni, ruang terbuka untuk dieksploitasi oleh penyerang. Menggunakan gambar 100 MB, bukan gambar 1 GB; Ini mempersingkat waktu penerapan, mengurangi biaya, dan meningkatkan keamanan. Mengoptimalkan Dockerfile menghasilkan tiga manfaat ini secara bersamaan. Nyatakan secara eksplisit tujuan "gambar akhir terkecil" saat meminta AI untuk Dockerfile yang dioptimalkan; oleh karena itu, ia memprioritaskan pemisahan tahap kompilasi dan membuang paket yang tidak diperlukan.

Langkah demi langkah: Menghasilkan dan mengoptimalkan Dockerfile dengan AI

  1. Jelaskan aplikasinya. Bahasa, versi, perintah input, port yang didengarkan.
  2. Buat draf pertama dibuat. Minta Dockerfile yang berfungsi sederhana.
  3. Optimalkan itu. Mintalah AI yang sama untuk pembuatan multi-tahap, gambar dasar kecil, dan pengoptimalan urutan lapisan.
  4. Periksa keamanan. Apakah rahasianya tertanam, apakah dijalankan sebagai root, apakah ada alat yang tidak perlu?
  5. Membangun dan mengukur ukuran. Lihat ukurannya dengan gambar buruh pelabuhan setelah buruh pelabuhan dibangun.
  6. Pindai. Periksa kerentanan yang diketahui dengan pemindai eksploitasi seperti docker scout atau trivy.

Keamanan: risiko khusus kontainer

Keamanan kontainer mudah diabaikan. Tiga aturan:

  1. Jangan sematkan Rahasia pada gambar. Baris seperti ENV API_KEY=... atau COPY .env secara permanen menulis rahasia ke lapisan gambar; Siapapun yang menerima gambar tersebut dapat membacanya. Berikan rahasianya saat runtime sebagai variabel lingkungan atau dari brankas.
  2. Berjalan sebagai root. Secara default, container dijalankan sebagai root; Sebuah bukaan bisa berubah menjadi jalan keluar dari wadah. Jatuhkan ke pengguna yang tidak sah dengan instruksi USER.
  3. Gambar dasar kecil dan terkini. Gambar yang membengkak lebih lambat dan memiliki lebih banyak kerentanan. Pilih slim/alpine, perbaiki versinya (jangan gunakan :latest).
Perhatian: Meskipun Anda menggunakan rahasia di RUN dan kemudian menghapusnya, rahasia tersebut tetap berada di middleware dan dapat dibaca kembali melalui riwayat buruh pelabuhan. Jika rahasia diperlukan selama pembuatan, gunakan mekanisme --secret Docker, bukan ENV/COPY.

Tabel dampak optimasi

teknis

Apa artinya?

Efek khas

gambar dasar ramping/alpine

Buang paket yang tidak perlu

900MB → 120MB

Pembangunan multi-tahap

Tidak termasuk alat pembangunan

700MB → 90MB

.dockerignore

Tidak menyertakan file yang tidak diperlukan dalam build

Pembuatan lebih cepat, konteks kecil

Penyortiran tingkat

Meningkatkan cache hit

Bangun 5 menit → 40 detik

Perbaikan versi (:15)

Pengulangan + keamanan

Mencegah kerusakan mendadak

tiga kasus mini

Kasus 1 — Gambar 1,1 GB dikurangi menjadi 95 MB. Gambar Node.js satu tim berukuran 1,1 GB; Setiap penerapan membutuhkan waktu beberapa menit. Mereka mengatakan kepada AI "optimalkan ini dengan pembangunan multi-tahap dan alpine". AI memisahkan fase kompilasi dan hanya memindahkan file yang dihasilkan ke gambar tipis; Hasilnya adalah 95 MB, waktu penerapan berkurang sepertiga.

Kasus 2 — rahasia yang terkubur tertangkap. Seorang insinyur memperhatikan baris ENV DB_PASSWORD=prod_secret di Dockerfile yang diproduksi oleh YZ. AI telah menyematkan kata sandi ke dalam gambar sehingga akan "berfungsi". Insinyur menghapus ini dan mengubahnya untuk membaca kata sandi dari variabel lingkungan saat runtime. Jika tidak, siapa pun yang mengambil gambar tersebut dapat membaca kata sandinya.

Kasus 3 — risiko lepasnya akar. Alat pemindaian melaporkan bahwa gambar yang dihasilkan oleh AI berjalan sebagai root dan mengandung kerentanan kritis. Tim menambahkan pengguna aplikasi USER dan mendorong gambar dasar ke versi saat ini; pemindaian dibersihkan. Pelajaran: pindai setiap gambar sebelum dipublikasikan dan paparkan ke pengguna yang tidak berwenang.

Empat templat yang dapat disalin

1) Menghasilkan Dockerfile yang Dioptimalkan:

Tulis Dockerfile siap produksi untuk aplikasi [LANGUAGE/FRAMEWORK]. Pedoman: - Gunakan build multi-tahap; buat gambar akhir sekecil mungkin.- Gambar dasar slim/alpine dan versinya tetap (jangan gunakan ":latest").- Jalankan container dengan PENGGUNA yang tidak sah, BUKAN root.- JANGAN PERNAH menyematkan rahasia pada gambar; Tunggu variabel lingkungan saat runtime. - Tambahkan saran .dockerignore. Perintah masukan: [X], port mendengarkan: [Y].

2) Optimalkan Dockerfile yang ada:

Lihat Dockerfile ini untuk meminimalkan dan mempercepat. Merekomendasikan perubahan nyata dalam hal urutan lapisan, pembangunan multi-fase, gambar dasar dan paket redundan; Tuliskan perkiraan dampak ukuran/kecepatan dari setiap perubahan. File Docker: [ISI]

3) Audit keamanan:

Periksa Dockerfile ini untuk keamanan: apakah ada rahasia yang tertanam, pengguna root, versi yang belum diperbaiki, alat yang tidak perlu, gambar dasar yang ketinggalan jaman? Buatlah daftar temuan berdasarkan kepentingannya dan koreksi apa pun. File Docker: [ISI]

4) Membangun pemecahan kesalahan:

Apa yang menyebabkan kesalahan build buruh pelabuhan ini dan bagaimana cara mengatasinya? Beri saya akar permasalahan dan solusinya dengan sedikit perubahan. Jangan menghasilkan nilai nyata di mana Anda melihat Rahasia, gunakan placeholder. Kesalahan: [LOG] Dockerfile: [ISI]

Perintah lemah / Perintah kuat

Lemah: "Tulis Dockerfile untuk aplikasi Node saya."

Hasil: gambar dasar besar, pengguna root, satu tahap, mungkin rentan terhadap rahasia; Sebuah keluaran tanpa mempertimbangkan ukuran dan keamanan.

Kuat: "Tulis Dockerfile siap produksi untuk aplikasi Node 20 saya: pembuatan multi-tahap, gambar dasar node:20-alpine (versi diperbaiki), dijalankan dengan PENGGUNA yang tidak sah, penyematan rahasia, mendengarkan pada port 3000, simpul masuk dist/server.js. Sarankan juga .dockerignore."

Perbedaan: versi prompt kedua memberikan teknik optimasi, aturan keamanan dan perintah login; Outputnya menjadi kecil, aman dan langsung dapat digunakan.

Kesalahan umum

  • Menyematkan Rahasia ke dalam gambar dengan `ENV`/`COPY`. Itu tetap berada di lapisan dan dibaca kembali.
  • Berjalan sebagai root. Melewatkan instruksi USER merupakan risiko keamanan yang serius.
  • Menggunakan `:terbaru`. Hal ini menciptakan pembangunan yang tidak dapat diulangi dan gangguan yang tidak terduga.
  • Melewatkan pembangunan multi-tahap. Alat kompilasi membuat gambar akhir menjadi terlalu besar.
  • Jangan menulis `.dockerignore`. Direktori besar seperti .git dan node_modules disertakan dalam build.
  • Menerbitkan gambar tanpa memindainya. Menghasilkan kerentanan yang diketahui tanpa menyadarinya.

Singkatnya

Kontainer memasukkan aplikasi ke dalam paket portabel yang berfungsi sama di mana saja; resepnya adalah Dockerfile. AI sangat ampuh dalam menghasilkan Dockerfile yang siap produksi dan dioptimalkan — tetapi Anda harus secara eksplisit mewajibkan pembangunan multi-tahap, gambar dasar kecil, tidak ada pengguna yang tidak sah, dan tidak ada rahasia. Mengurangi ukuran gambar akan mempercepat penerapan; Tidak menyematkan rahasia, keluar dari root, dan memindai gambar memastikan keamanan. Anda bertanggung jawab untuk memverifikasi fungsi masing-masing resep dan di mana kebocorannya.

Tugas aplikasi

Pilih aplikasi sederhana. Minta AI membuat Dockerfile dengan templat "Pembuatan Dockerfile yang Dioptimalkan". Kemudian: (1) Periksa rahasia yang tertanam dan pengguna root dengan templat "Pemeriksaan keamanan"; (2) jika memungkinkan, buat buruh pelabuhan dan ukur ukurannya dengan gambar buruh pelabuhan; (3) catat teknik mana yang paling efektif dalam mereduksi gambar sebagai langkah selanjutnya.

daftar periksa

  • [ ] Saya menambahkan versi bahasa/kerangka kerja, perintah input, dan port ke prompt saya.
  • [ ] Tidak ada rahasia yang tertanam di Dockerfile; diharapkan pada runtime rahasia.
  • [ ] Kontainer berjalan dengan USER yang tidak sah, bukan root.
  • [ ] Gambar dasarnya kecil (ramping/alpine) dan versinya sudah diperbaiki (no:terbaru).
  • [] Saya menggunakan build multi-tahap dan .dockerignore.
  • [] Saya memindai gambar dengan pemindai kerentanan.
Sebelumnya Selanjutnya