ghcr.io/cloudnative-pg/postgresql:16.15-202608310817-system-trixie

[!IMPORTANT] 自 2025 年 8 月起，由 PostgreSQL Docker 社区维护的官方 Postgres 镜像已停止对 Debian bullseye 的支持。作为响应，CloudNativePG 项目已完成所有 system 镜像向新的基于 bake 的构建流程的过渡。我们现在直接基于官方 Debian slim 镜像构建，完全脱离官方 Postgres 镜像。

CNPG PostgreSQL 容器镜像

本仓库提供维护脚本，用于为所有受支持的 PostgreSQL 主版本生成不可变应用容器：

此外，PostgreSQL 19 Beta 3 仅用于测试目的。

这些镜像旨在作为 Kubernetes 环境中 CloudNativePG (CNPG) 运算符的操作数，不用于独立使用。

主要特性

CloudNativePG PostgreSQL 容器镜像：

• 基于 Debian Linux（stable 和 oldstable）构建。
• 提供多架构支持，包括 linux/amd64 和 linux/arm64。
• 附带构建证明，例如软件物料清单（SBOM）和来源元数据。
• 发布在 CloudNativePG GitHub 容器注册表中。
• 每周（周一）自动重建，以保持与上游最新安全和错误修复同步。

Debian 版本

CloudNativePG PostgreSQL 容器镜像基于 Debian 项目维护和支持的官方 stable 和 oldstable Debian 版本。

下表总结了相关 Debian 版本的支持生命周期，包括终止支持日期（EOL）和长期支持（LTS）日期。

[!IMPORTANT] CloudNativePG 项目对基于 Debian 的镜像提供全面支持，直至每个版本达到其官方终止支持日期（EOL）。EOL 之后至长期支持（LTS）开始前，已弃用版本（如 oldoldstable）的镜像将基于最佳努力原则进行维护。如果需要在 LTS 日期前终止支持，将在此页面提前至少三个月发布通知。

镜像类型

我们目前提供并维护三种主要类型的 PostgreSQL 镜像：

• minimal minimal
• standard standard
• system system

minimal 和 standard 镜像均设计为可与 Barman Cloud 等备份插件配合使用。

system 镜像基于 standard 镜像构建，还包含 Barman Cloud 二进制文件。

Minimal 镜像

Minimal 镜像是轻量级的，基于官方 Debian 镜像构建。它们使用由 PostgreSQL 全球开发组（PGDG）维护的 APT PostgreSQL 软件包。

这些镜像通过标签名称中包含 minimal 来标识，例如：17.6-minimal-trixie。

从 PostgreSQL 18 开始，minimal 镜像将不包含 LLVM JIT 支持（包含在 postgresql-MM-jit 软件包中，其中 MM 代表 PostgreSQL 主版本）。JIT 仅在 standard 镜像中可用。

Standard 镜像

Standard 镜像是 minimal 镜像的扩展，增加了以下附加功能：

• PGAudit
• Postgres 故障转移槽
• pgvector
• 所有区域设置
• LLVM JIT 支持
  • 对于 PostgreSQL 17 及更早版本：包含在主要 PostgreSQL 软件包中，也在 minimal 镜像中可用
  • 从 PostgreSQL 18 开始：由单独的 postgresql-MM-jit 软件包提供

Standard 镜像可通过名称中的 standard 标签识别，例如：17.6-standard-trixie。

Standard 镜像旨在与 CloudNativePG 一起使用时提供与旧版 system 镜像等效的功能。要实现功能对等，必须使用 Barman Cloud 插件替代 system 镜像中的原生 Barman Cloud 支持。

System 镜像（已弃用）

从 2025 年 9 月开始，system 镜像基于 standard 镜像构建，并包含 Barman Cloud 二进制文件。

[!IMPORTANT] system 镜像已弃用，一旦 CloudNativePG 中对 Barman Cloud 的核心支持逐步淘汰，这些镜像将被移除。尽管只要核心 Barman Cloud 仍然可用，您仍可以使用它们，但您应计划迁移到 minimal 或 standard 镜像并配合 Barman Cloud 插件，或采用其他受支持的备份解决方案。

镜像标签

每个镜像通过其摘要和以下格式的主标签进行标识：

MM.mm-TS-TYPE-OS

其中：

• MM 是 PostgreSQL 主版本（例如 16）
• mm 是 PostgreSQL 次版本（例如 10）
• TS 是精确到分钟的构建时间戳（例如 202509090953）
• TYPE 是镜像类型（例如 minimal）
• OS 是基础发行版（例如 trixie）

例如：16.10-202509090953-minimal-trixie。

滚动标签

除了完全限定标签外，还提供以下格式的滚动标签：

已弃用的滚动标签

出于历史原因，system 镜像还包含两个额外的滚动标签：

system

• MM.mm：特定 PostgreSQL 次要版本（例如 16.10）在 Debian bullseye 上的最新 system 镜像。 MM.mm``system``16.10``bullseye
• MM：特定 PostgreSQL 主要版本（例如 16）在 Debian bullseye 上的最新 system 镜像。 MM``system``16``bullseye

[!IMPORTANT] 这些标签已弃用，并将在 bullseye 镜像达到生命周期结束时被移除。请迁移到明确包含镜像类型和发行版版本的受支持标签格式（例如 16.10-minimal-trixie）。

bullseye``16.10-minimal-trixie

系统镜像（已弃用）

自2025年9月起，系统镜像基于 standard 镜像构建，并包含 Barman Cloud 二进制文件。

[!IMPORTANT] system 镜像已弃用，一旦 CloudNativePG 中对 Barman Cloud 的内置支持逐步淘汰，这些镜像将被移除。只要 Barman Cloud 的内置支持仍然可用，您仍可使用它们，但应计划迁移到 minimal 或 standard 镜像并配合 Barman Cloud 插件，或采用其他受支持的备份解决方案。

• MM.mm：特定PostgreSQL 次要版本（例如16.10）在Debian bullseye上的最新system镜像。
• MM：特定PostgreSQL 主要版本（例如16）在Debian bullseye上的最新system镜像。

[!IMPORTANT] 这些标签已弃用，并将在bullseye镜像达到生命周期结束时移除。请迁移到明确包含镜像类型和发行版版本的受支持标签格式之一（例如16.10-minimal-trixie）。

镜像目录

CloudNativePG在https://github.com/cloudnative-pg/artifacts/tree/main/image-catalogs中发布CloudNativePG的`ClusterImageCatalog`清单，每个受支持的镜像类型和操作系统版本组合都有一个可用的目录。

[!IMPORTANT] 如果您仍在依赖旧版ClusterImageCatalog-bullseye.yaml和ClusterImageCatalog-bookworm.yaml清单，请尽快迁移到新目录。这些旧版清单已弃用，并将与system镜像一起移除。

安全性

构建证明

CNPG PostgreSQL容器镜像构建时包含以下证明，以确保透明度和可追溯性：

• **https://docs.docker.com/build/metadata/attestations/sbom/**：镜像中包含或构建过程中使用的软件制品的综合列表，采用https://github.com/in-toto/attestation/blob/main/spec/predicates/spdx.md格式化。

• **https://docs.docker.com/build/metadata/attestations/slsa-provenance/**：遵循https://slsa.dev框架，详细说明镜像构建方式的元数据。

例如，要检索特定平台（如linux/amd64）的多架构镜像的SBOM，可使用以下命令：

docker buildx imagetools inspect \
--format '{{ json (index .SBOM "linux/amd64").SPDX }}'

此命令以JSON格式输出SBOM，提供软件组件和构建依赖项的详细视图。

镜像签名

minimal和standard CloudNativePG容器镜像使用https://www.sigstore.dev/生态系统中的工具https://github.com/sigstore/cosign进行安全签名。此签名过程通过GitHub Actions自动化，并利用https://docs.github.com/en/actions/security-for-github-actions/security-hardening-your-deployments/about-security-hardening-with-openid-connect。

令牌颁发者为https://token.actions.githubusercontent.com，签名身份对应于在cloudnative-pg/postgres-containers仓库下执行的GitHub工作流。此工作流使用https://github.com/marketplace/actions/cosign-installer来促进签名过程。

要使用镜像摘要验证其真实性，可运行以下cosign命令：

cosign verify IMAGE \
--certificate-identity-regexp="^https://github.com/cloudnative-pg/postgres-containers/" \
--certificate-oidc-issuer="https://token.actions.githubusercontent.com"

CI/CD中的镜像扫描

为进一步加强容器镜像的安全性，我们在CI/CD工作流中执行自动化镜像扫描。这些扫描有助于确保镜像在发布或部署前遵循最佳实践并远离已知漏洞：

• Dockle：验证容器镜像的配置最佳实践。在构建阶段运行；严重失败可能会阻止构建。
• Snyk：检测容器内操作系统包、库和依赖项中的漏洞。在镜像构建后运行。

构建镜像

有关构建PostgreSQL容器镜像的详细说明，请参阅BUILD.md文件。

使用Renovate进行自动更新

https://github.com/renovatebot/renovate可用于自动更新各种依赖项。由于CloudNativePG的`Cluster` CRD不会被Renovate自动识别，必须配置自定义正则表达式管理器。以下示例使用JSON5；将其保存为renovate.json5，或转换键/注释以用于renovate.json：

{
customManagers: [
{
// CloudNativePG Cluster imageName
customType: 'regex',
managerFilePatterns: [
'/\\.yaml$/',
],
matchStrings: [
'imageName:(?<depName>[^\\s:]+):(?<currentValue>[^\\s@]+)(?:@(?<currentDigest>sha256:[a-f0-9]{64}))?',
],
datasourceTemplate: 'docker',
// matches: 17.6-202509151215-minimal-trixie
versioningTemplate: 'regex:^(?<major>\\d+)\\.(?<minor>\\d+)-(?<build>\\d+)-(?<compatibility>\\S+)

Renovate永远不会更改标签的`compatibility`部分（镜像类型和Debian基础，例如`system-bookworm`），因此升级会保持在相同的操作系统和glibc/ICU版本。由于https://wiki.postgresql.org/wiki/Locale_data_changes，切换到不同的基础（例如从`bookworm`到`trixie`）是手动操作。PostgreSQL主要版本更新通过依赖项仪表板进行路由，以便人工规划和应用。为保持引用完全可重现，您还可以为CloudNativePG镜像启用`pinDigests`。如果您的仓库包含其他YAML清单，请将`managerFilePatterns`缩小到存放`Cluster`资源的目录，例如`'/clusters/.*\\.yaml$/'`。

## 许可和版权

本软件根据Apache License 2.0许可提供。

版权所有 © CloudNativePG贡献者，CloudNativePG是LF Projects, LLC的一个系列项目。

Barman Cloud由EnterpriseDB根据https://github.com/EnterpriseDB/barman/blob/master/LICENSE分发。

PGAudit根据https://github.com/pgaudit/pgaudit/blob/master/LICENSE分发。

Postgres Failover Slots由EnterpriseDB根据https://github.com/EnterpriseDB/pg_failover_slots/blob/master/LICENSE分发。

pgvector根据https://github.com/pgvector/pgvector/blob/master/LICENSE分发。

## 商标

*https://www.postgresql.org/about/policies/trademarks/是加拿大PostgreSQL社区协会的商标或注册商标，经其许可使用。*,
autoReplaceStringTemplate: 'imageName: {{{depName}}}:{{{newValue}}}{{#if newDigest}}@{{{newDigest}}}{{/if}}',
}
],
packageRules: [
{
matchPackageNames: ['ghcr.io/cloudnative-pg/postgresql'],
matchUpdateTypes: ['major'],
dependencyDashboardApproval: true,
}
]
}

Renovate永远不会更改标签的__CODE_TOKEN_47__部分（镜像类型和Debian基础，例如__CODE_TOKEN_48__），因此升级会保持在相同的操作系统和glibc/ICU版本。由于https://wiki.postgresql.org/wiki/Locale_data_changes，切换到不同的基础（例如从__CODE_TOKEN_49__到__CODE_TOKEN_50__）是手动操作。PostgreSQL主要版本更新通过依赖项仪表板进行路由，以便人工规划和应用。为保持引用完全可重现，您还可以为CloudNativePG镜像启用__CODE_TOKEN_51__。如果您的仓库包含其他YAML清单，请将__CODE_TOKEN_52__缩小到存放__CODE_TOKEN_53__资源的目录，例如__CODE_TOKEN_54__。

许可和版权

本软件根据Apache License 2.0许可提供。

版权所有 © CloudNativePG贡献者，CloudNativePG是LF Projects, LLC的一个系列项目。

Barman Cloud由EnterpriseDB根据https://github.com/EnterpriseDB/barman/blob/master/LICENSE分发。

PGAudit根据https://github.com/pgaudit/pgaudit/blob/master/LICENSE分发。

Postgres Failover Slots由EnterpriseDB根据https://github.com/EnterpriseDB/pg_failover_slots/blob/master/LICENSE分发。

pgvector根据https://github.com/pgvector/pgvector/blob/master/LICENSE分发。

商标

https://www.postgresql.org/about/policies/trademarks/是加拿大PostgreSQL社区协会的商标或注册商标，经其许可使用。