Docker推出免费开源的加固镜像(DHI)，为开发者提供安全、精简、生产就绪的基础镜像，以应对日益严重的软件供应链攻击。DHI基于Apache 2.0许可，覆盖1000多个镜像和Helm图表，旨在为全球2600万开发者建立安全标准。

Docker为所有开发者提供加固镜像

行业背景与需求

随着供应链攻击在2025年造成超600亿美元损失（较2021年增长三倍），Docker作为容器生态领导者（Docker Hub月拉取量超200亿次，90%企业采用容器技术）宣布全面开放其加固镜像（Docker Hardened Images, DHI）。这项始于2025年5月的服务已强化超1000个镜像和Helm图表，现以Apache 2.0许可证向2600万开发者免费开源。

核心优势

1. 安全基础：

   • 采用无发行版（distroless）运行时缩小攻击面
   • 每个镜像包含可验证SBOM（软件物料清单）和SLSA Build Level 3来源证明
   • 漏洞评估完全透明，不隐藏未修复CVE
   • 企业版关键漏洞修复承诺7天内完成（目标缩短至1天）

2. 兼容性与迁移：

   • 基于Alpine/Debian等主流开源系统，迁移成本极低
   • AI助手可扫描现有容器并推荐等效加固镜像（实验阶段）

3. 商业支持：

   • DHI企业版：支持FIPS/STIG合规、自定义镜像构建、全生命周期管理
   • 扩展生命周期支持（ELS）：提供上游停止维护后5年安全补丁

生态合作

Google、MongoDB、CNCF等合作伙伴已加入生态，安全平台Snyk/JFrog Xray直接将DHI集成至扫描器。Adobe、高通等企业采用DHI满足合规需求，初创公司通过该方案加速商业拓展。

用户评价

• CNCF执行董事：开放加固镜像将强化软件供应链安全
• RedMonk分析师：使安全实践更易实施
• MongoDB CTO：基于Alpine/Debian的镜像提供可信开源基础
• Anaconda CEO：助力企业减少风险管理时间

产品矩阵

| 版本 | 核心特点 | 适用场景 | |---------------------|-----------------------------------|-------------------------| | 免费版DHI | 最小化加固镜像+开源生态 | 个人开发者/开源项目 | | DHI企业版 | 7天SLA修复+合规镜像+无限定制 | 金融/政府等强监管行业 | | ELS扩展支持（付费） | 上游停更后5年补丁+持续SBOM更新 | 长期运行的使命关键系统 |

行动指南

• 立即使用：Docker Hub加固镜像目录
• 参加发布会网络研讨会
• 企业需求咨询：商业方案详情

作者结语：Docker产品总监Christian Dupuis指出这是"行业分水岭时刻"，安全总监Michael Donovan强调"让安全成为开发者默认权利"。团队正持续创新，未来将扩展至加固库、系统包等全栈组件。

以下是评论内容的总结：

1. 产品可用性问题

   • 用户发现Hardened Images Catalog中缺少pgbouncer镜像，且请求链接失效
   • 引用："I went to 'Hardened Images Catalog' and searched for pgbouncer, not found"
   • 引用："'Make a request' button...links to this 404-ing GitHub URL"

2. 与Bitnami替代关系的疑问

   • 用户猜测这是否是对Bitnami/VMWare/Broadcom Helm charts的回应
   • 引用："Is this the response to the Bitnami/VMWare/Broadcom Helm charts thing?"
   • 引用："no need for chainguard/bitnami anymore?"

3. 商业价值与行业应用

   • 认为免费开放Hardened Images是明智之举，可能成为Docker的持续收入来源
   • 引用："No reason not to use them...Offering image hardening...source of sustained income"
   • 引用："Regulated industries like banks...are likely interested"

4. 使用体验与兼容性问题

   • 用户指出非直接替代方案，存在登录要求、镜像版本不匹配等问题
   • 引用："this is not an easy drop in replacement...requires a log-in"
   • 引用："the python image only various '(dev)' images...requires some planning"

5. 积极评价与替代方案

   • 有用户赞赏Docker的创新举措，也有用户选择Redhat的UBI镜像
   • 引用："I appreciate what they're doing here...haven't seen other vendors doing"
   • 引用："we switched everything to Redhat's ubi images...we pay for support already"