Слой описывает изменения файлов, образ объединяет их в заданном порядке и добавляет настройки. При запуске среда выполнения использует подготовленное окружение целиком, а не произвольный одиночный слой.
Контейнеры и оркестрация
Слой образа контейнера
Определение
Слой образа контейнера — упакованный набор изменений файловой системы. Он добавляет, заменяет или скрывает пути относительно предыдущего слоя. Итоговое дерево файлов получается после применения всех слоёв в порядке, заданном манифестом OCI.
Также ищут: Image layer · OCI layer · набор изменений файловой системы
Зачем это знать
Удаление файла в последнем слое не стирает его из опубликованного предыдущего слоя. Это влияет и на размер поставки, и на утечку секретов. Проверяйте историю содержимого образа: чистая итоговая папка ещё не означает, что в пакете нет старых данных.
Связи из словаря
Карта понятия
Слой образа контейнера
Доказательная часть
Что подтверждено
Слои OCI применяются от базового к верхним. Один слой может менять результат предыдущего; перестановка слоёв не сохраняет файловую систему автоматически.
Граница применимости: Применение наборов изменений файловой системы OCI.
Слой хранит изменения файлов. Команда запуска, переменные окружения и другие настройки по умолчанию находятся в конфигурации образа, а не в отдельном слое.
Граница применимости: Разделение слоёв и конфигурации OCI.
Секрет, добавленный в нижний слой образа, не исчезает из него после удаления в верхнем. Метка удаления скрывает путь в итоговой файловой системе, но прежний слой остаётся частью образа. Такой секрет нельзя считать безопасно удалённым.
Граница применимости: Послойный образ OCI, где нижний слой с секретом сохранён в манифесте.
Метка whiteout скрывает путь из нижнего слоя. Особая метка непрозрачного каталога скрывает унаследованное содержимое каталога; это отличается от обычного пустого каталога.
Граница применимости: Служебные метки удаления и непрозрачные каталоги в слоях OCI.
У сжатого слоя дайджест в дескрипторе проверяет сжатый архив, а DiffID — несжатый tar-поток. Равенство этих хешей не требуется. Для несжатого tar-слоя входные байты совпадают.
Граница применимости: Дайджест дескриптора слоя OCI и DiffID в конфигурации образа; сжатый архив и несжатый tar-поток различаются.
Если образ с действующим токеном получили люди без права знать его значение, пересборка не устраняет утечку: прежняя копия остаётся у получателей. Старые учётные данные нужно сделать недействительными в системе доступа, подготовить замену и обновить потребителей. Удаление секрета из новых слоёв и отзыв старого значения — разные действия.
Граница применимости: Раскрытые действующие учётные данные с механизмом отзыва или замены в целевой системе. Это вывод из OCI и правил обращения с секретами; он не обещает удалить чужие копии образа или отменить доступ к ранее раскрытым данным.
Граница терминов
Не путать
Перед спецификацией
Что проверить
- Проверьте полный список слоёв и их порядок в манифесте.
- Ищите секреты во всех сохраняемых слоях, а не только в итоговой файловой системе.
- Проверьте смысл меток whiteout при анализе удалённых файлов и каталогов.
- Для каждого хеша проверьте его входные данные: сжатый архив или несжатый tar-поток.
- Проверьте параметры запуска в конфигурации образа отдельно от файлов.
- После очистки пересоберите образ и проверьте, какие старые слои всё ещё входят в поставку.
- Если действующие учётные данные из образа попали к посторонним, сделайте старое значение недействительным и подготовьте замену.
Открытые основания
Первоисточники
- Removing sensitive data from a repository
Открыт редактором 6 сентября 2026 года, заголовок документа сверен. Описывает отзыв или замену раскрытых учётных данных и границы удаления секретов из истории Git. Связь с образами OCI — отдельный редакторский вывод.
Утверждения: 07
- Rotate AWS Secrets Manager secrets
Определяет rotation как согласованное обновление secret value и credentials в database или target service.
Утверждения: 07
- Lease, renew, and revoke
Разделяет TTL, renewal, expiration и immediate revocation для leased dynamic credentials.
Утверждения: 07
- Open Container Initiative Runtime Specification
Определяет подготовленный пакет контейнера, config.json, окружение процесса и операции жизненного цикла.