bellsoft/hardened-liberica-runtime-container Docker 镜像 - 轩辕镜像

Hardened Containers with Liberica JDK 镜像文档

镜像概述和主要用途

Hardened Containers with Liberica JDK 是基于 Liberica JDK Lite 和 JRE Lite 的加固容器镜像，专为安全可靠的 Java 应用部署设计。该镜像提供三种类型的 Java 运行环境，满足不同场景下的应用需求：

• jdk：云优化的 Liberica JDK Lite 版本，适用于常规 Java 应用运行
• jdk-all：包含完整 Liberica JDK 的镜像，支持通过 jlink 工具创建自定义 Java 运行时
• jre：仅包含 Java 运行时（JRE）的轻量级版本，不含 JDK 开发工具，适用于精简部署

核心功能和特性

多类型 Java 环境

提供 jdk、jdk-all、jre 三种镜像类型，覆盖开发、定制运行时、生产部署等全流程需求。

安全加固

基于 "Hardened Containers" 设计理念，内置安全增强特性，降低容器环境下的安全风险。

性能优化

• CRAC 支持：部分镜像提供 Coordinated Restore at Checkpoint（CRAC）功能，支持应用 checkpoint/restore，提升弹性部署效率
• CDS 加速：部分镜像预包含 Class Data Sharing（CDS）JRE 归档文件，加速 JRE 启动速度

多 libc 支持

兼容两种主流 C 标准库：

• glibc：适用于对系统兼容性要求高的场景
• musl：轻量级、安全增强的 libc，适用于资源受限或对安全性要求严格的环境

使用场景和适用范围

特性适配场景

• CRAC 版本：需支持应用状态 checkpoint/restore 的场景（如无状态服务快速扩缩容、故障恢复）
• CDS 版本：对 JRE 启动速度敏感的应用（如高频冷启动的 Serverless 场景）
• Glibc 版本：依赖 glibc 特定功能或第三方库的应用
• Musl 版本：追求镜像精简、低***面的安全敏感场景

详细的使用方法和配置说明

标签说明

镜像标签遵循 <JDK type>-<Java version>-[crac]-[cds]-<libc> 格式，各部分含义如下：

标签示例：

• jdk-21-glibc：Glibc 版本、Java 21 的 JDK Lite 镜像
• jre-21.0.7_9-cds-musl：Musl 版本、Java 21.0.7+9、包含 CDS 归档的 JRE 镜像
• jdk-all-17-crac-glibc：Glibc 版本、Java 17、支持 CRAC 的完整 JDK 镜像

部署示例

1. 基础运行（jdk 类型，Glibc，Java 21）

bash
docker run --rm bellsoft/hardened-liberica:jdk-21-glibc java -version  

2. 轻量级部署（jre 类型，Musl，带 CDS 加速）

bash
# 启动使用 JRE 且包含 CDS 的应用，加速启动  
docker run -d --name my-java-app bellsoft/hardened-liberica:jre-21-cds-musl -jar /app/my-app.jar  

3. 自定义运行时创建（jdk-all 类型）

bash
# 使用 jdk-all 镜像创建自定义 JRE（仅保留 java.base 和 java.logging 模块）  
docker run --rm -v $(pwd):/output bellsoft/hardened-liberica:jdk-all-21-glibc \  
  jlink --add-modules java.base,java.logging --output /output/custom-jre  

4. CRAC 功能使用（jdk 类型，带 CRAC 支持）

bash
# 启动支持 CRAC 的应用并创建 checkpoint  
docker run --rm --cap-add=CHECKPOINT_RESTORE --security-opt seccomp=unconfined \  
  bellsoft/hardened-liberica:jdk-21-crac-glibc \  
  java -XX:+CheckpointJVM -XX:CheckpointPath=/checkpoint -jar /app/my-app.jar  

许可证

本镜像包含其他软件组件，可能分布在不同许可证下。

查看软件组件及许可证

可通过以下命令获取镜像中已安装软件的组件列表及其许可证信息：

bash
docker run --rm bellsoft/hardened-liberica:<tag> grep -E '^[PVL]:' /var/lib/apk/db/installed  

使用责任

使用本镜像时，用户需自行确保对镜像中所有软件的使用符合其相关许可证要求。