manifoldco/scratch-certificates

Docker Scratch CA证书镜像

镜像概述

本镜像基于Docker官方的scratch空镜像构建，预安装了CA（证书颁发机构）根证书集合。scratch是Docker的基础空镜像，不含任何操作系统组件，而本镜像在其基础上添加了必要的CA证书文件，解决了纯scratch镜像无法验证HTTPS服务器证书的问题，适用于构建需要进行安全网络通信的最小化容器。

核心功能与特性

• 基于scratch基础：继承scratch镜像的最小化特性，无多余依赖，镜像体积极小
• 预安装CA证书：包含常用的根CA证书集合，支持标准HTTPS通信中的证书验证
• 轻量级设计：仅添加必要的证书文件，保持镜像精简，适合资源受限环境
• 兼容性良好：证书文件遵循标准路径规范，兼容大多数需要证书验证的应用程序

使用场景与适用范围

• 构建需要HTTPS通信的微服务或后端应用
• 运行静态编译的二进制程序（如Go、Rust等语言编译的应用）
• 开发对镜像体积有严格要求的容器化应用
• 部署需要验证SSL/TLS证书的CLI工具或后台服务
• 构建安全的、最小***面的容器环境

使用方法与配置说明

基本使用方式

作为基础镜像在Dockerfile中引用，用于构建包含HTTPS通信能力的应用镜像：

dockerfile
# 引用本镜像作为基础
FROM scratch-ca-certificates

# 复制应用程序到镜像中（需静态编译，无外部依赖）
COPY your-static-app /app

# 设置入口命令
CMD ["/app"]

证书路径说明

CA证书文件通常位于以下标准路径（具体路径可能因证书包版本略有差异）：

• /etc/ssl/certs/ca-certificates.crt

应用程序需配置为从上述路径加载CA证书以实现HTTPS验证功能。

注意事项

1. 应用程序要求：由于基于scratch镜像，应用程序必须是静态编译的，不依赖外部动态链接库
2. 无操作系统组件：镜像中不包含shell、包管理器、用户空间工具等操作系统组件，无法执行常规系统命令
3. 证书更新：如需更新CA证书，需重新构建镜像或在运行时通过挂载卷的方式提供更新后的证书文件
4. 权限控制：建议在Dockerfile中创建非root用户运行应用，增强安全性

示例：构建一个HTTPS客户端应用

以下是使用本镜像构建一个简单HTTPS客户端应用的Dockerfile示例（假设使用Go语言静态编译）：

dockerfile
# 构建阶段
FROM golang:alpine AS builder
WORKDIR /app
COPY main.go .
# 静态编译Go程序
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o https-client .

# 最终镜像阶段
FROM scratch-ca-certificates
COPY --from=builder /app/https-client /
CMD ["/https-client"]

此示例中，Go程序会自动从镜像中的标准CA证书路径加载证书，实现HTTPS服务器证书验证。