Google推出基础映像档更新代管服务，目前支援Ubuntu、Debian及CentOS

容器应用程序逐渐普遍，已经从开发者爱好工具，进入企业内部基础架构。不过映像档更新工作，对于维运人员依旧是件不简单的工作。在近日，Google旗下公有云平台GCP，宣布推出基础映像档更新代管服务（managed base images），“从最初建置应用程序时就可以使用。”目前此服务所支援的Linux发行版，分别有CentOS 7、Debian 9，以及Ubuntu 16.04，使用者可以直接从GCP市集下载。

这一次推出的新服务，Google会提供使用者多种操作系统基础映像档，后续更新工作也由该公司进行。如此，开发者除了能时时保持映像档在最新版本，由Google进行映像档把关，维运人员也不须从未知来源下载映像档，藉以提高容器基础架构的运作安全。

不过Google表示，即便导入此基础映像档更新代管服务，容器映像档经过扫描后，仍可能发现映像档存在漏洞。Google表示，出现此状况主要有三大原因。首先，扫描出的漏洞可能被归类为低风险漏洞，而专案维护人多半优先处理高风险漏洞，导致当前版本未有可用更新。第二个原因，则可能该专案刚爆出漏洞事件，还未有可用映像档更新。最后，则可能为开源专案新推出的功能，可能对系统安全带来风险，但专案维护人并不视其为漏洞。

由于容器的生命周期极短，不停进行重新建置、部署，为了确保使用者容器映像档安全，Google建议企业用户建立高度一致的CI/CD流程，时时确保基础架构环境内的容器映像档，皆有经过把关、认证程序。而该公司表示，实施方法总共有四大方向。第一方向，导入集中化管理的CI/CD，除了减少使用容器储存库数量，而正式环境的软件上线工作，必须透过中央发管道进行。第二方向，则是选用安全储存库作为映像档来源，从开发源头就做好资安工作。

再者，建立映像档扫描、分析的使用习惯，可使用第三方或公有云厂商原生服务执行。最后，当映像档要进入正式环境前，维运人员得确保只有经认证映像档，才能部署至正式环境。

而Google表示，未考虑使用此代管服务的开发者，亦可尝试其他开源方案，像是该公司释出的开源容器工具Distroless images。此映像档内仅打包使用者的应用程序、Runtime相依性，删去标准Linux发行版内的套件管理工具、Shells，缩小映像档的攻击表面。