jfxs/opentofu-inventory Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Docker OpenTofu Inventory

概述

一个基于OpenTofu的Docker镜像，具备以下特性：

• 轻量级：基于Alpine Linux，镜像大小仅50MB
• 多架构支持：兼容amd64和arm64架构
• 安全设计：采用非root用户运行容器
• 自动更新：通过比较软件物料清单（SBOM）变更实现自动更新
• 安全验证：使用Cosign进行镜像签名
• 透明可追溯：通过Syft添加软件物料清单（SBOM）证明
• 多平台可用：镜像发布于Docker Hub和Quay.io

该镜像还包含Python程序state2inventory，可从基础设施状态生成Ansible inventory。

镜像仓库

• GitLab：主仓库
• Docker Hub：jfxs/opentofu-inventory
• Quay.io：quay.io/ifxs/opentofu-inventory

核心功能

1. OpenTofu运行环境：提供完整的OpenTofu工具链，支持基础设施即代码操作
2. inventory生成：集成state2inventory工具，可将Terraform/OpenTofu状态文件转换为Ansible inventory
3. 安全强化：非root用户运行、镜像签名验证、SBOM物料清单审计
4. 多架构兼容：同时支持x86_64（amd64）和ARM64架构
5. 自动化维护：基于SBOM变更自动更新，确保组件版本最新

使用方法

基本运行命令

使用Docker Hub镜像

shell
# 查看OpenTofu版本
docker run -t --rm jfxs/opentofu-inventory tofu version

# 查看state2inventory帮助
docker run -t --rm jfxs/opentofu-inventory state2inventory terraform --help

使用Quay.io镜像

shell
# 查看OpenTofu版本
docker run -t --rm quay.io/ifxs/opentofu-inventory tofu version

# 查看state2inventory帮助
docker run -t --rm quay.io/ifxs/opentofu-inventory state2inventory terraform --help

内置组件

Docker最新标签为1.11.2-002, 1.11, 1，包含以下组件：

Docker Hub概述页提供最新发布镜像的详细信息。

版本控制

Docker标签格式定义：

• OpenTofu版本号
• 连字符
• 构建增量号（从001开始，用于区分相同版本的不同构建）

格式：<opentofu_version>-<increment>

示例：1.6.0-003

签名与证明

Cosign公钥

shell
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEa3yV6+yd/l4zh/tfT6Tx+zn0dhy3
BhFqSad1norLeKSCN2MILv4fZ9GA6ODOlJOw+7vzUvzZVr9IXnxEdjoWJw==
-----END PUBLIC KEY-----

公钥在线地址：<[***]>

验证方法

验证镜像签名

shell
cosign verify --key cosign.pub $IMAGE_URI

验证并获取SBOM证明

shell
cosign verify-attestation --key cosign.pub --type spdxjson $IMAGE_URI | jq '.payload | @base64d | fromjson | .predicate'

使用场景

1. 基础设施即代码管理：在容器环境中运行OpenTofu命令（如tofu init、tofu plan、tofu apply）
2. Ansible inventory生成：通过state2inventory工具从Terraform/OpenTofu状态文件自动生成Ansible inventory
3. CI/CD流水线集成：在持续集成流程中执行基础设施部署和inventory生成
4. 多架构环境部署：在amd64和arm64架构的服务器上统一运行OpenTofu工具链