镜像构建

概述 凌晨两点，告警炸了。排查发现某台服务器装了旧版本 OpenSSL，存在已知漏洞。安全团队问：还有多少台机器是同样的状态？你说不上来。 这就是手动装服务器的代价。每台机器各自 apt install，装出来的环境千差万别。有人忘了打补丁，有人装了多余包，有人改了内核参数却没记下来。等出事了才发现——你根本不知道线上到底跑了多少种"配置漂移"的机器。 Packer 解决的就是这个问题。它把"装一台服务器"这件事变成代码：你写一个模板，Packer 启动一台临时机器，按模板配置好，打成镜像（AMI、VMDK、Docker 镜像、qcow2 等），然后销毁临时机器。下次要新服务器？直接用镜像启动，秒级就绪，配置完全一致。 这篇文章不教你跑个 Hello World。我聊的是生产级的黄金镜像流水线：从 HCL2 模板设计、Ansible Provisioner 集成、CI/CD 自动触发，到 Trivy 安全扫描、镜像版本管理和灰度发布。每一步都带踩坑实录。 什么叫"黄金镜像" 先说清楚概念。“黄金镜像”（Golden Image）就是经过标准化配置、安全加固、测试通过的机器模板。你拿它启动的每一台服务器，初始状态都一模一样。 打个比方：以前装服务器像手工捏饺子，每个形状都不太一样。用了黄金镜像，就像用了模具——出来的每个饺子大小形状完全相同，质量可控。 对比维度 手动配置 黄金镜像 初始化时间 15-45 分钟 30-90 秒 配置一致性 依赖人工，经常漂移 镜像锁定，完全一致 安全基线 每台可能不同 构建时统一加固 可审计性 难以追溯 镜像版本可追溯 回滚能力 基本没有 切换镜像版本即可 扩容速度 慢，SSH 逐台配置 快，直接启动新实例 Netflix 2013 年就开始用这个模式了。他们叫 “Bake and Deploy”——先把代码"烤"进 AMI，然后用 Spinnaker 部署。一台机器出问题？直接销毁，用同一镜像启动新的。这比 SSH 上去排查靠谱多了。 Packer 核心概念 Packer 是 HashiCorp 出的开源工具，干的事情很简单：根据模板定义，启动临时机器，跑配置脚本，然后打镜像。机器用完即销毁。 三大核心组件 Packer 的模板（HCL2 语法）由三个核心部分组成：...