背景
上周体验了 Podman 来管理容器的构建、生命周期管理等。Podman 自身是可以通过 Dockerfile 来进行容器镜像的构建，并且也支持容器镜像的 pull/push/login 等操作，Buildah 能够带来什么好处，我们为什么要使用它？
注意：本文章所采用环境为 CentOS7，需要除了 Buildah 工具外，还需要安装 containers-common 用于配置容器。
What
我们现在使用的容器管理工具无论是 Podman 还是 Docker，都是符合 OCI 规范的，他们操作的镜像也需要符合 OCI 规范，Buildah 介绍很简单： A tool that facilitates building OCI images。
Buildah 功能列表：
- 创建容器
- 通过 Dockerfile 或者一个处于运行状态的容器（指 Buildah 自身创建的容器，Podman 不可见
- 挂载/卸载镜像文件系统
- 使用更新后挂载的镜像文件系统作为文件系统层创建新的镜像
- …
Buildah 与 Podman 的关系
在官方说法中，Buildah 与 Podman 是相辅相成的关系，有很多共同点：它们都不需要 root 权限；都可以通过 Dockerfile 来构建容器镜像；都采用 fork-exec 模型；都不需要守护进程等等。 Buildah 主要的优势在于可以在没有 Doclerfiles 的情况下创建容器镜像，这也造成了从 Docker 切换到 Buildah 的用户使用成本会稍微高一些，因为部分概念发生了改变，主要有以下这些对比：
| Command | Podman Behavior | Buildah Behavior | |
|---|---|---|---|
| build | Calls buildah bud | Provides the build-using-dockerfile (bud) command that emulates Docker’s build command. | |
| commit | Commits a Podman container into a container image. Does not work on a Buildah container. Once committed the resulting image can be used by either Podman or Buildah. | Commits a Buildah container into a container image. Does not work on a Podman container. Once committed, the resulting image can be used by either Buildah or Podman. | |
| mount | Mounts a Podman container. Does not work on a Buildah container. | Mounts a Buildah container. Does not work on a Podman container. | |
| pull and push | Pull or push an image from a container image registry. Functionally the same as Buildah. | Pull or push an image from a container image registry. Functionally the same as Podman. | |
| run | Run a process in a new container in the same manner as docker run. | Runs the container in the same way as the RUN command in a Dockerfile. | |
| rm | Removes a Podman container. Does not work on a Buildah container. | Removes a Buildah container. Does not work on a Podman container. | |
| rmi, images, tag | Equivalent on both projects. | Equivalent on both projects. | |
| containers and ps | ps is used to list Podman containers. The containers command does not exist. | containers is used to list Buildah containers. The ps command does not exist. |
How
从 Dockerfile 构建镜像
buildah 提供了 build-using-dockerfile 命令支持从 Dockerfile 构建镜像，命令等同于 docker build 与 podman build。
1 | root@yiran-30-250:/tmp/buildah |
从容器中构建镜像
这是 Buildah 最常使用方式，buildah 配合 Host 的命令操作来达到简化镜像构建的目的。
1 | root@yiran-30-250:/tmp/buildah |
上述操作解释如下：
buildah from命令创建一个新的处于运行中的容器buildah run <container id>在容器中执行命令echo yiran > index.html在主机上执行的命令，生成文件，该文件保存在主机上buildah copy将主机上的文件拷贝到容器中，等同于 Dockerfile 中的COPYbuildah config --entrypoint给容器配置 entrypoint，等同于 Dockerfile 中的ENTRYPOINTbuildah commit将该容器制作为镜像，保存在/var/lib/containers/下
挂载镜像
buildah 提供了 buildah mount 命令，可以将运行中容器挂载到 Host 的文件系统上，我们可以直接在 Host 上对容器内文件进行操作：
1 | root@yiran-30-250:/tmp/buildah |
我们除了可以直接操作容器内文件，也可以在 Host 上给容器安装一些软件，如 dnf、make 等工具：
1 | dnf install --installroot=<container mountpoint> |
这里面临一个问题：如果在构建镜像的时候依赖于我们 Host 的环境，那么就无法达到我们想要的构建环境隔离了。这个问题可以通过使用多个容器共同构建来解决。
假设如果我们需要 gcc 环境，那么我们可以准备两个容器：其中一个包含 gcc ，并用它来编译，编译完成后在另一个纯净的容器中安装，最终只需要 commit 纯净的容器就可以。
这里的好处是 buildah 方式构建镜像，不会像 Dockerfile 一样包含很多层，只有执行 buildah commit 的时候产生一层镜像文件，我们也不需要考虑清理编译环境等问题。
Why
了解了基本的使用，那么我们需要知道为什么要使用 Buildah。
首先如果不使用 Buildah，对于整个容器工具链来说是完全 Ok 的，哪怕是不使用 Docker，仅凭 podman build 命令配合 Dockerfile 也是足够的，我们可以构建我们所需要的任意镜像。
使用 Buildah 能带来什么好处呢？我理解是我们可以通过更多的手段去构建镜像，不局限于 Dockerfile 中有限的关键字，我们有了更多的可能性，这就足够了。无论是 Buildah 原生命令还是通过 buildah mount 挂载到本地文件系统，都让我们可以更舒服的构建镜像，我们从维护一个 Dockerfile 转变为维护一个 Shell 脚本。
当然无论使用哪种方式，我们都需要知道 OCI 镜像标准是什么，这是最基本的。
Shell 脚本示例：1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25!/usr/bin/env bash
set -o errexit
Create a container
container=$(buildah from fedora:28)
mountpoint=$(buildah mount $container)
buildah config --label maintainer="yiran <zdyxry@gmail.com>" $container
curl -sSL http://ftpmirror.gnu.org/hello/hello-2.10.tar.gz \
-o /tmp/hello-2.10.tar.gz
tar xvzf src/hello-2.10.tar.gz -C ${mountpoint}/opt
pushd ${mountpoint}/opt/hello-2.10
./configure
make
make install DESTDIR=${mountpoint}
popd
chroot $mountpoint bash -c "/usr/local/bin/hello -v"
buildah config --entrypoint "/usr/local/bin/hello" $container
buildah commit --format docker $container hello
buildah unmount $container
