Avec latest, ça peut simplement échouer si le tag n'existe pas du tout, ou ramener la dernière version buguée toute fraîche ou une version vérolée.
Avec x.y.z, on indique une version donnée mais l'image peut changer (il y a des images qui sont reconstruites régulièrement pour mettre à jour les dépendances sans changer la version du logiciel principal). Et une version x.y.z correcte à l'instant t n'offre pas de garantie en sécurité pour la suite si l'image change (cas récent de trivy et sa version vérolée). Certains projets offrent une image x.y.z mise à jour régulièrement et une x.y.z-immutable figée.
Avec le sha256, on fige une image précise et elle restera ainsi. (x.y.z@sha256 est du sucre syntaxique pour indiquer à l'humain la version mais c'est le sha qui sert).
# Dockerfile, Containerfile et compose
Posté par Benoît Sibaud (site web personnel) . En réponse au lien Docker Compose : arrêtez de mettre latest dans vos fichiers. Évalué à 7 (+4/-0).
Avec latest, ça peut simplement échouer si le tag n'existe pas du tout, ou ramener la dernière version buguée toute fraîche ou une version vérolée.
Avec x.y.z, on indique une version donnée mais l'image peut changer (il y a des images qui sont reconstruites régulièrement pour mettre à jour les dépendances sans changer la version du logiciel principal). Et une version x.y.z correcte à l'instant t n'offre pas de garantie en sécurité pour la suite si l'image change (cas récent de trivy et sa version vérolée). Certains projets offrent une image x.y.z mise à jour régulièrement et une x.y.z-immutable figée.
Avec le sha256, on fige une image précise et elle restera ainsi. (x.y.z@sha256 est du sucre syntaxique pour indiquer à l'humain la version mais c'est le sha qui sert).