132 個の小型で堅牢化されたコンテナイメージ。無料、MIT ライセンス、署名済み、6 時間ごとに再ビルド。

クイックスタート

docker pull ghcr.io/rtvkiz/minimal-python:latest

アカウントは不要です。すべてのイメージには、デバッグやマルチステージビルド用のシェルとツールチェーンを含む :latest-dev コンパニオンがあります。

docker run --rm -p 8080:80 ghcr.io/rtvkiz/minimal-nginx:latest
docker run --rm -p 6379:6379 ghcr.io/rtvkiz/minimal-redis-slim:latest

イメージを探す → — 124 個すべて、リアルタイムのサイズと CVE 件数付き。

取得したものを検証する

gh attestation verify oci://ghcr.io/rtvkiz/minimal-python:latest --owner rtvkiz

公開されたすべてのイメージには、キーレス Cosign 署名、SPDX SBOM、およびそれを生成したワークフローとコミットに紐づく SLSA v1.0 ビルド来歴が付属しています。

署名、SBOM、来歴のコマンド →

これらの違い

小型でシェルレス — アプリケーションが許す限り、本番イメージには /bin/sh が含まれず、デフォルトで非 root として実行されます。
ソースからビルド — 再パッケージされたベースイメージではなく、公開された可読な melange レシピ。ネイティブの amd64 と arm64。
決して古くならない — 最新の Wolfi パッケージに対して 6 時間ごとに再ビルド。アップストリームのリリースと推移的な CVE はそれぞれ自動マージ PR を開きます。
検証可能 — 署名済みで、SBOM と来歴がすべてのダイジェストに添付されています。

ベンダー SLA、サポート契約、FedRAMP/FIPS/STIG 認定はありません。署名、SBOM、来歴は検証と監査に役立ちますが、それらのプログラムを置き換えるものではありません。

ピン留め

FROM ghcr.io/rtvkiz/minimal-python@sha256:<digest>   # immutable
FROM ghcr.io/rtvkiz/minimal-python:3                 # patched, no major jumps

:latest はメジャーバージョンをまたぎますが、正確なバージョンタグは一切動きません。

タグとピン留め →

脆弱性件数について

グリーンのビルドは、検出結果がゼロであることを意味しません。Grype はすべての本番イメージをスキャンし、結果は情報提供目的です — 公開をブロックすることはありません。カタログには生の件数と VEX 適用後の件数が並べて表示され、抑制は新しいスキャンごとに照合されるため、密かに古くなることはありません。

スキャン結果の読み方 →

コントリビューション

make python && make test-python                       # apko-only image
make caddy-melange && make caddy && make test-caddy   # source-built image

PR を歓迎します。CONTRIBUTING.md ではツールとレイアウトを、 docs/onboarding.md ではイメージを追加するための完全なチェックリストを、 docs/roadmap.md では需要順にランク付けされたバックログを扱っています。

セキュリティ問題: 公開 issue ではなく、プライベート脆弱性報告をご利用ください。

ライセンス

MIT — LICENSE を参照してください。イメージには Wolfi およびアップストリームのパッケージがそれぞれのライセンスの下で含まれています。詳細は各イメージの SPDX SBOM に記載されています。

minimal

人気