DEFRA .NET Core父镜像文档

概述

DEFRA .NET Core父镜像是由英国环境、食品与农村事务部（DEFRA）维护的标准化Docker镜像，旨在为.NET Core应用提供统一的基础构建和运行环境。该镜像基于官方.NET Core SDK和运行时镜像构建，集成了组织内部最佳实践，包括安全加固、依赖管理及构建优化，适用于企业级.NET Core应用的容器化部署。

核心功能与特性

1. 标准化构建环境

• 支持多阶段构建，分离编译期和运行期环境，减小最终镜像体积
• 预集成.NET Core SDK（用于构建）和Runtime（用于运行），版本与官方同步
• 包含常用构建工具（如NuGet、MSBuild）及依赖项缓存机制

2. 安全加固配置

• 默认使用非root用户运行应用，遵循最小权限原则
• 集成安全扫描工具（如Trivy）的基线配置，减少漏洞暴露面
• 禁用不必要的系统调用，限制容器资源访问范围

3. 运行时优化

• 预配置日志输出格式（JSON格式，适配集中式日志系统）
• 内置健康检查端点支持，可通过环境变量自定义检查路径
• 优化垃圾回收（GC）配置，适应容器化环境资源限制

4. 兼容性支持

• 支持.NET Core 3.1/5.0/6.0/7.0/8.0等LTS版本
• 兼容Docker Buildx多平台构建，支持x86_64和ARM64架构
• 适配Kubernetes环境，包含Pod就绪探针和存活探针默认配置

使用场景

企业级.NET Core应用部署

为组织内部.NET Core应用提供标准化容器基础，确保不同团队开发的应用具有一致的运行环境，简化运维复杂度。

微服务架构容器化

作为微服务架构中.NET Core服务的基础镜像，支持服务网格（如Istio）集成，提供可观测性（日志、指标）基础配置。

CI/CD流程集成

在持续集成/持续部署流程中作为构建和测试阶段的基础镜像，确保构建环境一致性，加速流水线执行效率。

使用方法与配置说明

基础使用示例

Dockerfile构建示例（多阶段构建）

# 构建阶段：使用父镜像的SDK版本
FROM defra/dotnetcore:8.0-sdk AS build
WORKDIR /app
COPY *.csproj .
RUN dotnet restore
COPY . .
RUN dotnet publish -c Release -o /app/publish

# 运行阶段：使用父镜像的Runtime版本
FROM defra/dotnetcore:8.0-runtime
WORKDIR /app
COPY --from=build /app/publish .
# 非root用户运行（父镜像默认创建appuser）
USER appuser
ENTRYPOINT ["dotnet", "MyApp.dll"]

Docker Compose配置示例

version: '3.8'
services:
  my-dotnet-app:
    build: 
      context: .
      dockerfile: Dockerfile
    image: defra/dotnetcore:8.0-runtime
    container_name: my-dotnet-service
    restart: unless-stopped
    environment:
      - ASPNETCORE_ENVIRONMENT=Production
      - LOG_LEVEL=Information
      - HEALTHCHECK_PATH=/health
    ports:
      - "8080:80"
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:80/health"]
      interval: 30s
      timeout: 10s
      retries: 3

环境变量配置

自定义配置

如需覆盖默认配置，可在Dockerfile中通过ENV指令设置环境变量，或在运行时通过-e参数传递。例如：

docker run -d \
  --name my-app \
  -e ASPNETCORE_ENVIRONMENT=Staging \
  -e LOG_LEVEL=Debug \
  -p 8080:80 \
  defra/dotnetcore:8.0-runtime

注意事项

1. 版本选择：根据应用的.NET Core版本选择对应标签的父镜像（如8.0-sdk、6.0-runtime等），确保兼容性。
2. 非root运行：父镜像默认禁用root用户，如需特殊权限，需在Dockerfile中显式切换用户并配置权限。
3. 依赖管理：如需额外系统依赖，可在构建阶段通过apt-get等命令安装，避免污染运行时镜像。
4. 镜像更新：定期同步父镜像更新，以获取安全补丁和功能优化。