Убедитесь, что «платформенная» часть образа из DockerHub актуальна.

Я хотел бы использовать изображения из DockerHub. Я доверяю приложениям, для которых предназначены контейнеры, и я доверяю сопровождающим обновлять образ DockerHub, если их приложение получает обновление. однако я им не доверяю сборка докера --pull каждый раз, когда используемый ими базовый образ получает обновление (например, когда они используют ОТ debian: яблочко-тонкий в их Dockerfile).

Что я хочу: постоянно проверять, что все (включая «платформу», также известную как базовый образ Debian в этом примере) обновлено без создания всего самостоятельно (если возможно).

Моя основная проблема: похоже, нет способа проверить базовый образ из извлеченного образа докера (см. https://stackoverflow.com/questions/35310212/docker-missing-layer-ids-in-output/35312577#35312577 и другие вопросы об обмене стеками о том же). Поэтому я не могу автоматически и вообще сравнивать слои образа из моего работающего контейнера с исходным базовым образом (или даже дату последнего обновления образа приложения с базовым образом).

Есть ли способ сделать то, что я описал выше? Или я действительно должен

а) полностью доверять сопровождающему образа DockerHub проверку конвейера сборки или

б) собрать все самому (в таком случае: зачем вообще существует DockerHub вместо DockerFile hub)?

Изменить: если это может иметь значение: это своего рода расширение этого старого вопроса: Как обрабатывать обновления безопасности в контейнерах Docker?

Похоже, вы можете добиться этого, используя внешний сервис, такой как snyk, для сканирования ваших изображений и использования полных версий изображений вместо «последних».

Snyk сообщит вам, если у него есть какие-либо известные уязвимости в системе безопасности. Кроме того, snyk может сканировать как ваш образ докера, так и ваш код, чтобы убедиться, что у вас есть уязвимая библиотека (например, из установки npm).

Кроме того, если вы используете реестр образов облачного провайдера, такой как облачный реестр GCP или AWS ECR, вы также используете сервис провайдера для сканирования безопасности контейнеров.