https://blogs.wuvikr.top/tags/kaniko/Recent content in Kaniko on 维克的博客HugoenSat, 24 Oct 2026 11:28:31 +0800https://blogs.wuvikr.top/posts/kaniko%E4%BB%8E%E5%85%A5%E9%97%A8%E5%88%B0%E5%AE%9E%E8%B7%B5/Sat, 24 Oct 2026 11:28:31 +0800https://blogs.wuvikr.top/posts/kaniko%E4%BB%8E%E5%85%A5%E9%97%A8%E5%88%B0%E5%AE%9E%E8%B7%B5/<h1 id="1-kaniko-是什么">1. Kaniko 是什么</h1> <p><strong>Kaniko</strong> 是一个由 Google 开源的，在<strong>容器或 Kubernetes 集群内部</strong>，直接根据 Dockerfile 构建容器镜像的工具。</p> <p>它最核心的特点只有一个：<strong>不依赖 Docker daemon（守护进程）</strong>，所有构建动作都在用户态（userspace）完成。这意味着你不需要在集群里跑一个 Docker 服务，也不需要挂载 <code>/var/run/docker.sock</code>，就可以构建出标准镜像。</p> <h1 id="2-kaniko-解决了什么问题">2. Kaniko 解决了什么问题</h1> <p>在 Kaniko 出现之前，CI 里构建镜像的主流做法是 <strong>Docker-in-Docker（DinD）</strong>。即在 CI Job 里再起一个 Docker 守护进程，用它去 build。这套方案在 Kubernetes 集群里有两个致命痛点：</p> <ol> <li><strong>需要 privileged 特权模式</strong>：dind 服务容器要操控内核特性，必须给 Pod 开 <code>privileged: true</code>。这是很严重的安全隐患——容器可能逃逸到宿主机，很多安全策略严格的集群直接禁止。</li> <li><strong>性能差</strong>：每个 Job 都额外拉起一个完整 Docker daemon，启动慢、占用高，多任务并发时更是灾难。</li> </ol> <p>Kaniko 就是为了解决这个问题而生的：<strong>不用特权、不用 daemon，在标准 K8s 集群里就能安全构建镜像。</strong></p> <table> <thead> <tr> <th>问题</th> <th>DinD（旧方案）</th> <th>Kaniko</th> </tr> </thead> <tbody> <tr> <td>需要 privileged 特权</td> <td>✅ 必须</td> <td>❌ 不需要</td> </tr> <tr> <td>依赖 Docker daemon</td> <td>✅ 必须</td> <td>❌ 完全不需要</td> </tr> <tr> <td>挂载 docker.sock</td> <td>✅ 需要</td> <td>❌ 不需要</td> </tr> <tr> <td>安全性</td> <td>有容器逃逸风险</td> <td>纯用户态，安全</td> </tr> <tr> <td>性能开销</td> <td>每个 Job 起 daemon，慢</td> <td>轻量，快</td> </tr> </tbody> </table> <p>Kaniko 的核心价值用一句话来说就是：<strong>在不安全、不方便跑 Docker daemon 的环境（尤其是 K8s 集群）里，仍然能安全、快速地构建镜像。</strong></p>