Base mínima y usuario sin privilegios

Una aplicación necesita compiladores, gestores de paquetes y cabeceras para construirse, pero no para ejecutarse. Si todo vive en la misma imagen, el servicio en producción lleva a cuestas el compilador entero. La construcción en dos etapas separa los dos momentos: la primera etapa tiene todo lo necesario para construir y produce un resultado; la segunda parte de una base reducida y recibe solo ese resultado. Lo que no se copia de una etapa a otra se queda en la primera y no llega a la imagen final.

Dos ventajas, una de cada tipo: menos superficie que parchear, y menos herramientas útiles para quien consiga ejecutar algo dentro del contenedor.

Decir «la imagen es mínima» sin un número es una opinión. La lista de materiales (SBOM) de cada versión cuenta los paquetes que lleva, y comparar dos listas da la medida: cuánta superficie se ha quitado. No importa tanto el total como la diferencia, porque cada paquete que ya no está es código que no hay que parchear ni vigilar. La comparación también se hace por tipo de componente: intérprete de órdenes, gestor de paquetes, compilador.

Abre la lista de materiales resumida y calcula cuántos paquetes del sistema menos lleva la versión nueva respecto a la antigua.

La instrucción USER acepta un nombre o un número. Los nombres dependen de lo que haya en el archivo de usuarios de la imagen, y una base mínima puede no tener ninguno; el número es inequívoco. Además, quien orquesta los contenedores puede exigir «que no sea root» y solo puede comprobarlo con certeza si el usuario es un número distinto de cero: con un nombre tiene que fiarse de lo que la imagen diga que es.

La inspección de la imagen muestra el campo del usuario con el que arranca el proceso: es lo que se comprueba antes de desplegar, en vez de confiar en lo que dice el Dockerfile.

Algunos binarios llevan el bit setuid: cuando un usuario los ejecuta, corren con los permisos de su dueño, normalmente root. Son útiles para tareas de administración y son también el camino clásico para subir de privilegios, así que una imagen mínima los trae de menos. Pero la base reducida solo elimina los que ella misma traía. Si la aplicación copia uno propio, ese se queda, y en una imagen que corre sin privilegios es justo el que hay que explicar: quién lo necesita y por qué.

Compara los dos informes de binarios con setuid y busca el que sobrevive en la versión nueva.

La contrapartida de una imagen mínima es que no hay intérprete de órdenes, ni gestor de paquetes, ni herramientas: cuando algo falla no se puede «entrar y mirar». La tentación es volver a meter un intérprete «por si acaso», y con eso se deshace lo conseguido. La alternativa es depurar desde fuera: registros, métricas, y, cuando de verdad hace falta, un contenedor de depuración temporal que se adjunta al mismo espacio de procesos y se retira al terminar, sin tocar la imagen de producción.

La falta de herramientas en la imagen es una característica de seguridad, no un defecto que se arregla.