Digests d'images

Un digest (sha256:...) est l'empreinte du manifeste d'une image : il désigne exactement une image, pour toujours. Un tag est une étiquette que toute personne autorisée à pousser peut déplacer vers une autre image.

Comment ça marche

docker push affiche le digest ; docker images --digests et docker image inspect (RepoDigests) le montrent pour les images tirées. Une référence écrite dépôt@sha256:... est récupérée par son contenu : si le tag a bougé, le digest donne toujours l'image d'origine. L'IMAGE ID local est un autre nombre, pas le digest du registre.

Ce qui casse

Déployer un tag, c'est faire tourner ce vers quoi il pointe au moment du pull : une chaîne relancée, un push erroné ou un compte volé change la production au pull suivant, lors d'une mise à jour de nuit ou sur un nouveau serveur. Épingler par digest demande un moyen de le changer volontairement, par un commit relu, quand tu veux vraiment la version suivante.

Dans un terminal

docker images --digests
docker image inspect --format '{{index .RepoDigests 0}}' registry.shop.internal/shop/api:1.4.0

Regarde-le casser, puis répare-le

Écris le Dockerfile ou le fichier compose, tape les commandes docker, et regarde un serveur simulé les exécuter à travers redémarrages, mises à jour et trafic. Gratuit pour commencer.

Ouvrir le parcours Ouvrir le bac à sable