¿Qué es una OCI Image?

Cuando un equipo entrega una aplicación en forma de imagen de contenedor, necesita que las herramientas entiendan qué contiene y cómo está organizada. Una OCI Image utiliza el formato definido por Open Container Initiative para empaquetar imágenes de contenedor. Aquí OCI se refiere a esa iniciativa de estándares, no a Oracle Cloud Infrastructure.

El formato permite trabajar con un ecosistema de herramientas sin depender de una única implementación. Estandarizar el paquete no garantiza que la aplicación funcione en cualquier máquina, ni demuestra que sea segura. Para saber qué vamos a desplegar conviene distinguir las piezas de la imagen y la información que identifica cada una.

El manifiesto dice qué forma parte del paquete

Un manifiesto de imagen OCI referencia una configuración y una lista ordenada de capas. Incluye descriptores con información como tipo de contenido, tamaño y digest. Describe los componentes que debe recuperar la herramienta, en vez de contener necesariamente dentro de sí todos los archivos de la aplicación.

Pensemos en un servicio de inventario que se distribuye desde un registro. Antes de preparar su ejecución, la herramienta obtiene información sobre la imagen y recupera los componentes necesarios. El manifiesto permite relacionar esas piezas con una imagen concreta. El ejemplo describe un flujo general; el comportamiento exacto y la caché dependen de la herramienta utilizada.

-InfraCrew dice: Un paquete sin lista de contenido es una sorpresa. En producción, preferimos que el manifiesto estropee el suspense.-

Las capas conservan cambios de archivos

Las capas representan conjuntos de cambios sobre el sistema de archivos: archivos añadidos, modificados o eliminados respecto a un estado anterior. Se aplican en orden para construir el resultado. No son máquinas virtuales pequeñas apiladas, ni cada una contiene una aplicación independiente con su propio sistema arrancado.

Esta organización tiene una consecuencia importante: eliminar un archivo en una capa posterior no garantiza que sus bytes desaparezcan de una capa anterior distribuida con la imagen. Un secreto copiado durante la construcción puede seguir formando parte del paquete. Hay que evitar incorporarlo y revisar el proceso de construcción, en lugar de confiar en borrarlo al final.

Compartir capas también puede permitir reutilizar componentes ya disponibles localmente. Eso no convierte todas las descargas en gratuitas ni todos los tamaños en equivalentes. Para investigar consumo interesa distinguir el contenido transferido, lo almacenado y lo que queda finalmente disponible para el contenedor, según la implementación.

La configuración orienta la ejecución

La configuración OCI incluye datos sobre la imagen y parámetros de ejecución, como el punto de entrada o argumentos por defecto. No es lo mismo que el manifiesto, aunque ambos formen parte de la estructura. El manifiesto referencia esa configuración como otro componente identificado por su contenido.

La imagen tampoco es el contenedor que ya está funcionando. El runtime prepara un entorno para ejecutar sus procesos y puede añadir configuración externa. Montajes, secretos y decisiones del despliegue pueden cambiar lo que ve la aplicación, sin que por ello se haya modificado la imagen original. Esa separación ayuda a investigar diferencias entre entornos.

-InfraCrew dice: «Es la misma imagen» es un buen comienzo. Ahora faltan los montajes, la configuración y unas cuantas variables con ideas propias.-

Una etiqueta cómoda; una identidad comprobable

Un digest es un identificador calculado a partir del contenido. Permite comprobar que los bytes recibidos corresponden a los referenciados. Una etiqueta de registro, como un nombre de versión, puede apuntar a un manifiesto. Nombre e identidad de contenido cumplen funciones diferentes, y conviene registrar qué digest terminó desplegándose.

Imaginemos dos despliegues separados en el tiempo que utilizan la misma etiqueta y obtienen resultados distintos. Si el registro permite cambiarla, el nombre puede haber pasado a señalar otro contenido. Anotar el digest permite investigar esa posibilidad sin adivinarla. Su uso facilita trazabilidad, pero no sustituye una política de actualización y revisión de imágenes.

Verificar un digest demuestra correspondencia con un contenido esperado; no demuestra que su autor sea fiable. Integridad, procedencia y ausencia de vulnerabilidades son comprobaciones distintas. La selección de fuentes, la revisión de dependencias y los mecanismos de firma o análisis que se utilicen responden a preguntas adicionales.

El índice puede ofrecer varias plataformas

Un índice OCI puede referenciar varios manifiestos y describir plataformas diferentes. Así, una referencia puede ofrecer variantes para arquitecturas como amd64 y arm64. La variante elegida debe ser compatible con el entorno de ejecución, y contener binarios adecuados; el formato no traduce instrucciones de una arquitectura a otra por sí solo.

Para operar con criterio, conserva la referencia utilizada, el digest resuelto y la plataforma seleccionada junto a la versión de la aplicación. Comprueba también que el registro y las herramientas soportan los tipos de contenido empleados. La portabilidad útil es la que se prueba en el destino real, no la que se deduce únicamente de llevar las letras OCI.

-InfraCrew dice: El estándar facilita que el paquete viaje. El binario todavía tiene que entender el idioma del procesador.-

Diccionario de la Crew

Manifiesto — Documento que referencia la configuración y las capas de una imagen OCI, con sus descriptores.

Capas — Conjuntos ordenados de cambios de archivos utilizados para construir el sistema de archivos de una imagen.

Digest — Identificador derivado del contenido que permite comprobar que los bytes coinciden con los esperados.