当还需要 libstdc++ 时，如何使用 bazel 创建 Go docker 镜像？

在使用 Bazel 构建 Go Docker 镜像时，如果 Go 代码依赖于 C++ 库（例如 libsodium），可能会出现缺少 libstdc++ 的问题。这是因为 distroless Go 镜像通常不包含 libstdc++。

我正在尝试从主要使用的源代码库中创建一个 docker 映像。问题是go代码还调用了c++库（libsodium），所以生成的容器缺少libstdc++。

这是我的方法：首先，我将 distroless go 映像与使用 pkg_tar() 创建的一些内容捆绑在一起：

container_image(
    name = "new_base_image",
    base = "@go_image_base//image",
    tars = [
      ":bash_static_tar",
      ":passwd_tar",
      ":dirs_tar",
    ],
    visibility = ["//:__subpackages__"],
)

然后我创建我的 go 镜像，打包它，并将其推送到我的注册表：

go_image(
    name = "alice-go-image",
    embed = [":alice_lib"],
    base = "//:new_base_image",
    visibility = ["//visibility:public"],
)


container_image(
    name = "alice-image",
    base = ":alice-go-image",
    user = "alice",
    entrypoint = "/bin/sh",
    directory = "/opt/alice",
    workdir = "/opt/alice",
)

container_push(
    name = "alice-push",
    format = "docker",
    image = ":alice-image",
    registry = "us-central1-docker.pkg.dev",
    repository = "mycoolproject/pub-docker/alice",
)

不幸的是，go 代码调用了一些供应商的 c++ 代码（libsodium，这并不重要），因此尝试从容器内运行生成的二进制文件会产生：

sh-5.1$ ./apollo                                                                                                                                                                        
./alice: error while loading shared libraries: libstdc++.so.6: cannot open shared object file: no such file or directory

我认为我可以简单地将 distroless cc 映像包含在捆绑包中，但我不知道该怎么做。我认为把

container_load(
    name = "distroless-cc",
    registry = "gcr.io",
    repository = "distroless/cc",
    tag = "latest",
)

在 workspace 中，然后将 @distroless-cc//image 标签包含为 tars 属性中的条目之一即可解决问题。不幸的是，它所做的是将 layer.tar 文件和相关元数据包含为图像的一部分！也就是说，如果我将第一条规则更改为：

container_image(
    name = "new_base_image",
    base = "@go_image_base//image",
    tars = [
      ":bash_static_tar",
      ":passwd_tar",
      ":dirs_tar",
      "@distroless-cc//image",
    ],
    visibility = ["//:__subpackages__"],
)

结果是：

drwxr-xr-x 0/0               0 1969-12-31 19:00 ./
drwxr-xr-x 0/0               0 1969-12-31 19:00 ./bin/
-r-xr-xr-x 0/0         1248656 1969-12-31 19:00 ./bin/sh
drwxr-xr-x 0/0               0 1969-12-31 19:00 ./etc/
-rw-r--r-- 0/0              74 1969-12-31 19:00 ./etc/passwd
drwxr-xr-x 0/0               0 1969-12-31 19:00 ./opt/
drwxr-xr-x 0/0               0 1969-12-31 19:00 ./opt/config/
-rw-r--r-- 0/0             776 1969-12-31 19:00 ./46bdf18e6b66057ca3b88eb8e0e2b8443297e36629e5fba3f33c2b2c717aa083.json
-rw-r--r-- 0/0         3061760 1969-12-31 19:00 ./4441c0604495fd6824901b4a57c65ffbb9025023edc1bee6f1a8fe2c312347a3/layer.tar
-rw-r--r-- 0/0             245 1969-12-31 19:00 ./4441c0604495fd6824901b4a57c65ffbb9025023edc1bee6f1a8fe2c312347a3/json
-rw-r--r-- 0/0               3 1969-12-31 19:00 ./4441c0604495fd6824901b4a57c65ffbb9025023edc1bee6f1a8fe2c312347a3/VERSION
-rw-r--r-- 0/0        17786880 1969-12-31 19:00 ./51aee51224937d5c4fe6e805be3dac78ace093d894d99923afb39a6fbcb9711b/layer.tar
-rw-r--r-- 0/0             321 1969-12-31 19:00 ./51aee51224937d5c4fe6e805be3dac78ace093d894d99923afb39a6fbcb9711b/json
-rw-r--r-- 0/0               3 1969-12-31 19:00 ./51aee51224937d5c4fe6e805be3dac78ace093d894d99923afb39a6fbcb9711b/VERSION
-rw-r--r-- 0/0         1996800 1969-12-31 19:00 ./605a66edf924fdfdddccc79e556050288e91ecf53a2d71fa8c17d793c7d26451/layer.tar
-rw-r--r-- 0/0             485 1969-12-31 19:00 ./605a66edf924fdfdddccc79e556050288e91ecf53a2d71fa8c17d793c7d26451/json
-rw-r--r-- 0/0               3 1969-12-31 19:00 ./605a66edf924fdfdddccc79e556050288e91ecf53a2d71fa8c17d793c7d26451/VERSION
-rw-r--r-- 0/0             359 1969-12-31 19:00 ./manifest.json
-rw-r--r-- 0/0              92 1969-12-31 19:00 ./repositories

这显然不是我想要的！

当然，我可以通过将 go 和 cc distroless 映像一起解压来手动创建映像，然后将其推送到我的私人注册表，但这需要手动执行操作，而且我不知道如何使用bazel docker 规则。

帮忙？

正确答案

您需要确保代码的所有依赖项都安装在映像中，以便能够使用生成的映像（无需额外安装）。这意味着您需要安装库和二进制文件（在您的情况下为 libstdc++ 和其他依赖库）。 不幸的是，bazel 规则不运行 docker 容器，而是在生成的映像中组装静态文件（层），因此您将无法在打包过程中安装它们。

一种方法是使用您需要的所有工具和库创建 base 映像 ，并使用该映像作为 basel 的起点。这可以使用标准 docker 构建工具来完成，方法是创建一个准备环境的 dockerfile 并将生成的文件推送到存储库（或作为 tar 文件）以用作 basel 的基础

另一种方法是将依赖项创建为 tar 图层，并使用它们与 container_layer("tars"=[]) 组装图像，并将该图层添加到 container_image("layers"=) 中，但是这是由于两个主要问题，不建议这样做：1) 创建 tar 很复杂且容易出错，2) tar 是静态的，因此后续版本将不包含补丁和次要更新。

as @jayeye 后来在 @jordanvrtanoski 的回答中自我回答，使用 @distroless-cc 作为基础镜像应该可以解决这个问题。

为了对此提供更多信息，我们首先需要了解“distroless”图像以及它们如何被 rules_docker 中的各种 _image 规则使用。

distroless 容器镜像

来自 GoogleContainerTools github page，

他们进一步列出了各种可用的图像。一些示例包括 - gcr.io/distroless/[static-debian11 |基本 debian11 | cc-debian11 | python3-debian11 | ...]

_image规则

现在来看 go_image 规则，如果将规则的 pure 属性设置为“on”，则使用 static-debian11 映像。如果 pure 属性未设置或设置为“off”，则使用 base-debian11 distroless 映像。

要查看每个 distroless 容器映像包含的内容，您可以查看 distroless github 页面。

例如指定base和static的区别为here

This [static] image contains a minimal Linux, glibc-based system.
It is intended for use directly by "mostly-statically compiled"
languages like Go, Rust or D.

Statically compiled applications (Go) that do not require
libc can use the gcr.io/distroless/static image, which contains:

- ca-certificates
- A /etc/passwd entry for a root user
- A /tmp directory
- tzdata

Most other applications (and Go apps that require libc/cgo) 
should start with gcr.io/distroless/base, which contains 
all of the packages in gcr.io/distroless/static, and

- glibc
- libssl
- openssl

最后，distroless-cc 工作的原因是它包含与基础映像中的所有内容一起捆绑到映像中的 libgcc1（及其依赖项）。

来自documentation

以上就是本文的全部内容了，是否有顺利帮助你解决问题？若是能给你带来学习上的帮助，请大家多多支持golang学习网！更多关于Golang的相关知识，也可关注golang学习网公众号。