Containerbeelden

Containerbeelden zijn statische, draagbare bestanden die de volledige runtime-omgeving van een container bevatten: een bestandensysteem, bibliotheken en de bijbehorende configuratiegegevens. Ze zijn ontworpen om deterministisch te zijn: hetzelfde beeld geeft bij herhaalde uitvoering hetzelfde gedrag. Een beeld bestaat meestal uit meerdere lagen en bevat metadata die bepaalt hoe de container moet worden gestart.

Een beeld bestaat uit lagen; elke laag is een wijziging ten opzichte van de vorige laag. Bij het opstarten van een container wordt de gecombineerde laagstructuur gemonteerd met een copy-on-write-bestandssysteem. Een beeld bevat verder een configuratieobject met informatie zoals ENTRYPOINT, CMD, omgevingsvariabelen, poorten en volumes. Beelden volgen vaak de OCI- of Docker-image-standaarden. Een manifest verwijst naar de lagen en de configuratie; voor multi-arch beelden is er een image index (manifest-list) met meerdere platformversies.

Beelden worden in registries opgeslagen, zowel publiek als privé (bijv. Docker Hub en andere OCI-registries). Een naam plus tag identificeert een beeld; de inhoud is echter vastgelegd op basis van een digest (bijv. sha256). Beelden worden gebouwd met Dockerfiles of vergelijkbare tooling (Docker, Buildah, Kaniko) en gedistribueerd via registries. Een containerengine (Docker, containerd) haalt het beeld op en maakt er containers uit; de laagstructuur maakt caching en deling tussen containers mogelijk.

Beveiliging en governance spelen een belangrijke rol: beelden kunnen worden gescand op kwetsbaarheden en misconfiguraties; digitale handtekeningen en verificatie (bijv. Cosign, Notary) helpen bij authenticiteit en integriteit. Praktische best practices zijn onder meer het gebruik van minimale base-images, multi-stage builds, expliciete digests en het regelmatig bijwerken van beelden.