自定义容器映像

Cloud Workstations 提供的预配置基础映像仅包含装有 IDE、基本 Linux 终端和语言工具以及 sshd 服务器的极简环境。为了加快特定开发用例的环境设置，您可以创建自定义容器映像，以将这些基础映像扩展为预安装工具和依赖项并运行自动化脚本。

对于自定义容器映像，我们建议设置流水线，以在 Cloud Workstations 基础映像更新时自动重新构建这些映像，此外，除了运行 Artifact Analysis 等容器扫描工具来检查您添加的任何其他依赖项之外，您负责维护和更新添加到自定义映像的自定义软件包和依赖项。

准备工作

1. 您需要一台机器，该机器带有用于构建容器映像（如 Docker）以及使用 Google Cloud CLI 将映像推送到 Artifact Registry（或 Container Registry）的工具。您可以使用 Cloud Workstations 或 Cloud Shell Editor 来执行这些步骤，其中预装了此工具。

   注意：Container Registry 已被弃用，并已安排关停。2024 年 1 月 8 日之前未使用 Container Registry 的组织默认在 Artifact Registry 上托管新的 gcr.io 制品库。自 2024 年 5 月 15 日起，之前未使用 Container Registry 的 Google Cloud 项目将仅支持托管和管理 Artifact Registry 中 gcr.io 网域的映像。

   Container Registry 计划于 2025 年 3 月 18 日关停。如需详细了解弃用情况，请参阅 Container Registry 弃用。

2. 从我们支持的基础映像列表中选择要使用的基础映像，例如 us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest。

   或者，您可以按照使用自己的容器映像中的说明，使用自己的容器映像或使用外部容器映像。

3. 在此文件夹中创建扩展所选基础映像的文件夹（如 CUSTOM_IMAGE_FOLDER 和 Dockerfile），如下面的示例所示。

Cloud Workstations 基础映像结构

Cloud Workstations 基础映像采用以下定义的结构：

• 基础映像入口点文件设置为 /google/scripts/entrypoint.sh。

• 启动时，基础映像会按字典顺序在 /etc/workstation-startup.d/* 下运行文件，以初始化工作站环境。

  这些文件及其行为如下：

  • 000_configure-docker.sh：在工作站内配置和运行 Docker。

  • 010_add-user.sh：在 Cloud Workstations 中创建默认用户。

    由于永久性磁盘会动态挂接到容器，因此必须在工作站启动时添加用户，而不是添加到 Dockerfile 中。

  • 020_start-sshd.sh：启动容器中的 sshd 服务。

  • 110_start-$IDE.sh：启动映像的 IDE。

• Cloud Workstations 将 Docker 映像存储在主目录的 /home/.docker_data 下，以便在会话之间保留这些映像。

如需在工作站启动期间添加其他功能，请在 /etc/workstation-startup.d/ 目录中添加您的脚本：

• 此目录中的脚本默认以根用户身份运行。如需以其他用户身份执行脚本，请使用 runuser 命令。

• 由于脚本按字典顺序执行，因此我们建议您在脚本前添加大于 200 的三位数数字。

主目录修改

当工作站配置指定永久性主目录时（这是默认行为），支持主目录的永久性磁盘会在运行时动态挂接到容器。此过程会覆盖构建容器映像时对 /home 目录所做的修改。

如需保留更新，请在容器运行时修改 /home 目录，具体方法是，在 /etc/workstation-startup.d 目录中添加脚本，或在 /etc/profile.d 目录中添加每位用户的配置。为了加快此过程，请考虑将设置脚本作为后台进程运行（在命令末尾添加和号 &），以免阻塞容器启动。

以下是一些应转移到容器运行时的构建时配置的示例：

• 每位用户的 git 配置
• 已克隆到主目录中的 git 个代码库
• 直接用户配置，例如将文件放在 $HOME/.config 目录中
• 创建用户

用户创建和修改

由于永久性磁盘在运行时动态挂接到容器，因此必须在工作站启动时添加用户，而不是添加到 Dockerfile 中。如需修改或创建其他用户，我们建议您更新 /etc/workstation-startup.d/010_add-user.sh，或自行创建在启动时执行的脚本。

此外，您可以通过更新 /etc/profile.d 中的文件来修改用户的默认 bash 配置文件。

更新预配置的安全 APT 密钥

Cloud Workstations 基础映像预安装了许多使用 Secure APT 从各种第三方代码库获取的工具。在安装过程中，系统会使用 gpg 导入代码库所有者提供的公钥，并将其放入 /usr/share/keyrings/ 下的单个文件中。这些文件从 /etc/apt/sources.list.d/ 下的相应 list 文件引用。这样，apt 就可以在与给定代码库交互时验证其完整性。

有时，第三方代码库所有者可能会决定更改用于验证其代码库完整性的公钥，这会导致 apt 在与其交互时显示错误。如需解决这一潜在问题，您可以使用 /google/scripts/refresh-preinstalled-apt-keys.sh，它会获取最新版本的预安装公钥并重新导入。

列出已安装的 IDE 版本

多个 Cloud Workstations 基础映像预安装了一个 IDE。为方便起见，请参阅随附的 /google/scripts/preinstalled-ide-versions.sh 脚本，该脚本列出了映像中所安装 IDE 的名称和版本信息。

停用 sudo 项 root 权限

默认工作站用户在这些容器中拥有 sudo root 访问权限。如需关闭对 Docker 容器的 root 访问权限，请在创建工作站配置时将 CLOUD_WORKSTATIONS_CONFIG_DISABLE_SUDO 环境变量设置为 true。

如需在创建工作站配置时通过 Google Cloud 控制台设置此环境变量，请按以下步骤操作：

1. 创建工作站配置时，请完成“基本信息”和“机器”的配置。
2. 在环境自定义对话框中，展开高级容器选项部分，然后选择环境变量。
3. 点击添加添加变量。
4. 输入 CLOUD_WORKSTATIONS_CONFIG_DISABLE_SUDO 和 true 作为值。

注意 ：如果用户能够突破 Docker 容器限制，或许能够获得底层虚拟机的 root 权限。

使用您自己的容器映像

您也可以使用自己的容器映像或使用外部容器映像，前提是这些映像基于 Linux，并且在容器启动时运行阻止进程。

设置 Dockerfile 时，ENTRYPOINT 指令必须运行阻塞进程（如 sleep infinity），以便容器继续运行，而不是立即退出。或者，在工作站配置中，您可以设置 config.container.args 字段以指定阻塞进程。

使用您自己的容器映像时，请注意以下事项：

• Cloud Workstations 不需要 Cloud Workstations 基础映像中的额外脚本。

  但是，您可以在运行 Cloud Workstations 基础映像的容器内查看 /etc/workstation-startup.d/ 目录中的脚本。文件名表示每个脚本的用途。

• 我们建议您在容器中运行 SSH 服务器。如需了解 Cloud Workstations 如何默认进行此项设置，请参阅默认基础映像中的 /etc/workstation-startup.d/020_start-sshd.sh。

• 我们建议您在端口 80 上运行默认 IDE 或 Web 服务器。

扩展 Cloud Workstations 基础映像

扩展 Cloud Workstations 基础映像以便为工作站环境创建自定义映像时，您可以采用以下三种方法：

1. 更新您的 Dockerfile，以包含要添加的任何其他静态素材资源。
2. 在 /etc/workstation-startup.d/ 下添加其他可执行文件，以自定义正在运行的容器。在容器启动时，此目录下的文件会自动按字典顺序运行，因此您可以为文件名添加前缀，以便在工作站启动期间的适当时间运行该文件。
3. 替换 Dockerfile 中的 ENTRYPOINT 以完全自定义容器启动。

注意 ：任何用户修改都必须在容器运行时完成，而不是在 Dockerfile 中完成。这是因为 /home 在启动时会动态装载到容器中。

自定义 Dockerfile 示例

本部分提供了有关创建您自己的 Dockerfile 的示例场景和说明。

预安装了 emacs 的容器映像

如需创建预安装了 emacs 的容器映像，请运行以下命令：

FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest

RUN sudo apt update
RUN sudo apt install -y emacs

具有用户自定义功能的容器映像

如需自定义容器映像，请按以下步骤操作：

1. 在 /etc/workstation-startup.d/* 中创建在 010_add-user.sh 之后运行的脚本，例如 011_customize-user.sh：

   #!/bin/bash
   # Create new group
   groupadd $GROUP
   # Add the user to a new group
   usermod -a -G $GROUP $USERNAME
   

   将 $GROUP 替换为新的群组名称，并将 $USERNAME 替换为用户的用户名。

2. 假设您将脚本命名为 011_customize-user.sh，请将以下内容添加到 Dockerfile 中的映像，并使其可执行：

   FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest
   
   COPY 011_customize-user.sh /etc/workstation-startup.d/
   
   RUN chmod +x /etc/workstation-startup.d/011_customize-user.sh
   

在 SSH 会话中设置容器环境变量的容器映像

在工作站配置或工作站级别设置的环境变量将使用入口点命令传递给直接子进程。这包括预配置的基础映像中的 IDE。但是，SSH 会话不是入口点的子进程，并且未设置这些自定义环境变量。

如需在 SSH 会话中设置这些环境变量，请设置自定义容器映像，以将这些环境变量从容器的入口点命令中继到 /etc/environment 文件。

为此，请按以下步骤操作：

1. 在 /etc/workstation-startup.d/* 中创建在 010_add-user.sh 之后运行的脚本，例如 011_add-ssh-env-variables.sh：

   #!/bin/bash
   #
   echo "CUSTOM_ENV_VAR=$CUSTOM_ENV_VAR" >> /etc/environment
   

   将 CUSTOM_ENV_VAR 替换为预期的环境变量名称。

2. 假设您将脚本命名为 011_add-ssh-env-variables.sh，请将以下内容添加到 Dockerfile 中的映像，并使其可执行：

   FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest
   
   COPY 011_add-ssh-env-variables.sh /etc/workstation-startup.d/
   
   RUN chmod +x /etc/workstation-startup.d/011_add-ssh-env-variables.sh
   

为 SSH 会话启用 X11 转发的容器映像

X11 转发可让您启动远程应用，并将应用显示转发到本地机器。

如需创建启用 X11 转发的容器映像，请修改 Cloud Workstations 基础映像提供的 OpenSSH 守护程序配置文件 (/etc/ssh/sshd_config)，方法是附加 X11Forwarding yes（以允许 X11 转发）和 AddressFamily inet（确保仅使用 IPv4）。如需详细了解这些关键字，请参阅有关 AddressFamily 和 X11Forwarding 的 OpenBSD 网页。

下面是一个 Dockerfile 示例，可以进行必要的修改：

FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest

# Permit X11 forwarding using only IPv4
RUN cat >> /etc/ssh/sshd_config <<-EOF

AddressFamily inet
X11Forwarding yes
EOF

将 Cloud Workstations 的代码 OSS 复制到其他容器映像

通过多阶段构建，您可以在 Dockerfile 中使用多个 FROM 语句。每个 FROM 指令都可以使用不同的基础，并支持在构建阶段之间复制工件。如需将 Code OSS for Cloud Workstations 添加到其他容器映像，请使用多阶段构建将应用文件夹 /opt/code-oss 复制到您的映像中。如果要在容器启动时启动 Code OSS for Cloud Workstations，还需将 /etc/workstation-startup.d/110_start-code-oss.sh 脚本复制到您的容器中。

下面是一个示例 Dockerfile，它将 Code OSS 复制到 JetBrains IntelliJ Ultimate 映像中。然后，您可以与 IDE 进行交互：

FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest as code-oss-image

FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/jetbrains-intellij:latest

# Copy Code OSS for Cloud Workstations and startup scripts into our custom image
COPY --from=code-oss-image /opt/code-oss /opt/code-oss
COPY --from=code-oss-image /etc/workstation-startup.d/110_start-code-oss.sh /etc/workstation-startup.d/110_start-code-oss.sh

# Use the existing entrypoint script which will execute all scripts in /etc/workstation-startup.d/
ENTRYPOINT ["/google/scripts/entrypoint.sh"]

在 Code OSS for Cloud Workstations 进行 Java 开发的 Code OSS 中预安装 IDE 扩展程序的容器映像

如需在构建时创建在用于 Java 开发的 Code OSS for Cloud Workstations 中预安装 IDE 扩展程序的容器映像，请运行以下命令：

FROM us-central1-docker.pkg.dev/cloud-workstations-images/predefined/code-oss:latest

RUN wget https://open-vsx.org/api/vscjava/vscode-java-debug/0.40.1/file/vscjava.vscode-java-debug-0.40.1.vsix && \
unzip vscjava.vscode-java-debug-0.40.1.vsix "extension/*" &&\
mv extension /opt/code-oss/extensions/java-debug

RUN wget https://open-vsx.org/api/vscjava/vscode-java-dependency/0.19.1/file/vscjava.vscode-java-dependency-0.19.1.vsix && \
unzip vscjava.vscode-java-dependency-0.19.1.vsix "extension/*" &&\
mv extension /opt/code-oss/extensions/java-dependency

RUN wget https://open-vsx.org/api/redhat/java/1.6.0/file/redhat.java-1.6.0.vsix && \
unzip redhat.java-1.6.0.vsix "extension/*" &&\
mv extension /opt/code-oss/extensions/redhat-java

RUN wget https://open-vsx.org/api/vscjava/vscode-maven/0.35.2/file/vscjava.vscode-maven-0.35.2.vsix && \
unzip vscjava.vscode-maven-0.35.2.vsix "extension/*" &&\
mv extension /opt/code-oss/extensions/java-maven

RUN wget https://open-vsx.org/api/vscjava/vscode-java-test/0.35.0/file/vscjava.vscode-java-test-0.35.0.vsix && \
unzip vscjava.vscode-java-test-0.35.0.vsix "extension/*" &&\
mv extension /opt/code-oss/extensions/java-test

如果您预安装了扩展程序，它们会被视为内置扩展程序。 您将无法更新这些扩展程序，并且它们可能不会出现在 扩展程序市场的已安装部分中。不过，您可以通过搜索 @builtin 找到内置扩展程序。

在启动时安装扩展程序的另一种方法是运行启动脚本。例如，在 /etc/workstation-startup.d/120_install_extensions.sh 下添加以下启动脚本：

/opt/code-oss/bin/codeoss-cloudworkstations --install-extension vscjava.vscode-java-debug@0.40.1 \
--install-extension vscjava.vscode-java-dependency@0.19.1  \
--install-extension redhat.java@1.6.0 \
--install-extension vscjava.vscode-maven@0.35.2 \
--install-extension vscjava.vscode-java-test@0.35.0

使用此方法时，扩展程序会显示在 Extensions Marketplace 的 中，您可以从那里更新。

注意 ：您还可以在构建时预先下载 VSIX 文件，并在运行时使用它们，以便加强保护并提高启动性能。

将 JetBrains IDE 和插件安装到基础映像中

为工作站配置自定义 Docker 映像时，您可以将 JetBrains IDE 和插件（例如 Cloud Code for IntelliJ）安装到基础映像中。适用于 JetBrains 产品的 Cloud Workstations 基础映像包含以下脚本，可为您提供帮助：

• jetbrains-installer.sh：安装 JetBrains IDE
• plugin-installer.sh：安装插件，例如 Cloud Code for IntelliJ

您可以根据需要使用这些脚本来自定义基础映像、使用启动脚本调用这些脚本，或者在启动工作站后运行它们。

安装程序脚本

如需查看 jetbrains-installer.sh 和 plugin-installer.sh 脚本的源文件，请使用工作站配置（使用某个 JetBrains 预定义映像）启动工作站，通过 JetBrains Gateway 或 SSH 连接到工作站，然后浏览 installer-scripts 目录（位于根目录）中的脚本文件。

我们建议您在构建容器时运行这些脚本。请避免在已启动的工作站中运行它们。

使用插件安装程序脚本

plugin-installer.sh 脚本使用以下语法：

plugin-installer.sh [-v VERSION] [-d DESTINATION-DIRECTORY] [-c CHECKSUM] [-f] PLUGIN_ID

请替换以下内容：

• VERSION：要安装的插件的可选版本号。
• DESTINATION-DIRECTORY：应安装插件的可选目录。如果未指定，系统会使用工作目录。
• CHECKSUM：所请求插件的可选 SHA-256 校验和。
• -f：如果指定，则将覆盖任何现有插件。
• PLUGIN_ID：来自 JetBrains 市场的必需数字插件标识符。例如，如需添加 Dart，请使用 6351 作为 PLUGIN_ID。如需添加 Cloud Code for IntelliJ，请使用 8079 作为 PLUGIN_ID。

例如，如需在 IntelliJ 中安装最新版本的 Dart 插件，请运行以下命令：

plugin-installer.sh -d /opt/ideaIU/plugins/ 6351

使用 JetBrains 安装程序脚本

在为 JetBrains IDE 扩展预配置的基础映像时，我们建议您使用 JetBrains 安装程序脚本。

jetbrains-installer.sh 脚本使用以下语法：

jetbrains-installer.sh IDE [ pinned|latest ]

请替换以下内容：

• IDE：要安装的 JetBrains IDE。您必须使用以下 IDE 缩写之一：

  IDE	产品已安装
  cl	CLion
  clion	CLion
  go	GoLand
  goland	GoLand
  iiu	《Intellij Ultimate》
  intellij	《Intellij Ultimate》
  pcp	PyCharm Professional
  pycharm	PyCharm Professional
  ps	PHPStorm
  phpstorm	PHPStorm
  rd	Rider
  rider	Rider
  rm	RubyMine
  rubymine	RubyMine
  ws	WebStorm
  webstorm	WebStorm

• pinned|latest（可选）- 使用固定的或最新版本的 IDE。默认值为 latest。

例如，如需安装最新版本的 Clion，请运行以下命令：

jetbrains-installer.sh clion

自定义 JetBrains IDE 配置文件

如果在工作站配置中指定了永久性主目录，则具有 JetBrains IDE 的 Cloud Workstations 基础映像会自动保留 $IDE.vmoptions 和 $IDE.properties 配置文件。如需替换这些文件的默认位置，请指定 CLOUD_WORKSTATIONS_JETBRAINS_PERISTED_CONFIG_DIR 环境变量。

如需了解详情，请参阅任何 JetBrains 基础映像中的 /etc/workstation-startup.d/120_persist-jetbrains-configs.sh，了解 Cloud Workstations 如何进行默认设置。

使用 Cloud Code for IntelliJ 扩展基础 Docker 映像

以下 Dockerfile 代码段通过将 8079 添加为必需的插件标识符，使用 Cloud Code for IntelliJ 扩展基础 Docker 映像。该示例还可以选择将 version 22.9.3-222 指定为版本号，将 /opt/ideaIU/plugins/ 指定为目标目录，并将 89628279ed9042c526a81facc09bf53f8fb8b83b4595b0d329d94c1611e0c379 指定为校验和：

...
# Install IDE and Plugins
RUN bash /installer-scripts/jetbrains-installer.sh intellij pinned && \
  # Install Cloud Code - https://plugins.jetbrains.com/plugin/8079-cloud-code
  bash /installer-scripts/plugin-installer.sh \
      -v 22.9.3-222 \
      -d /opt/ideaIU/plugins/ \
      -c 89628279ed9042c526a81facc09bf53f8fb8b83b4595b0d329d94c1611e0c379 \
      8079

# Register IDE with JetBrains Gateway
RUN echo 'runuser user -c "/opt/ideaIU/bin/remote-dev-server.sh registerBackendLocationForGateway"' > /etc/workstation-startup.d/110_register-intellij-with-gateway.sh \
    echo 'echo "IntelliJ-Ultimate ready for incoming gateway connection"' >> /etc/workstation-startup.d/110_register-intellij-with-gateway.sh
...

在 Code OSS for Cloud Workstations 中安装其他 IDE 扩展程序

在 Open VSX Registry 中查找其他 IDE 扩展程序。您还可以通过复制任意扩展程序的 Download 链接的网址来查找 .vsix 文件的网址。

如果您从工作站打开 Extensions Marketplace，系统会显示 Install（安装）而不是 Download（下载）。

Cloud Workstations 的默认代码 OSS 设置

如需详细了解在 Code OSS for Cloud Workstations 中存储设置的详细信息，请参阅自定义设置。

如果您在工作站配置中指定了永久性主目录，则可以通过添加将设置写入 $HOME/.codeoss-cloudworkstations/data/Machine/settings.json 的启动脚本来配置 Code OSS for Cloud Workstations 的默认设置。

例如，如果您要将默认颜色主题设置为深色，请扩展基本编辑器图片，以在 /etc/workstation-startup.d/150_default-ide-color-theme.sh 下添加以下脚本

cat <<< $(jq '. += {"workbench.colorTheme": "Default Dark Modern"}' settings.json) > settings.json

构建自定义容器映像

如需详细了解 Docker 命令，请参阅 Docker 参考文档。输入以下命令以构建容器：

docker build CUSTOM_IMAGE_FOLDER -t TARGET_IMAGE

请注意，替换修改 修改图标前面的文本会更新本页面中的其他示例。

请替换以下内容：

• CUSTOM_IMAGE_FOLDER：您为了存储自定义映像而创建的文件夹的路径。

• TARGET_IMAGE：指向 Artifact Registry（或 Container Registry）中的映像的路径。

  例如，TARGET_IMAGE 可能指向类似于以下任一路径的目标图片路径：

  *.pkg.dev/cloud-workstations-external/customimage:latest
  
  *.gcr.io/cloud-workstations-external/customimage:latest
  

  根据需要将 * 替换为区域名称和任何其他标识符。

  注意：Container Registry 已被弃用，并已安排关停。2024 年 1 月 8 日之前未使用 Container Registry 的组织默认在 Artifact Registry 上托管新的 gcr.io 制品库。自 2024 年 5 月 15 日起，之前未使用 Container Registry 的 Google Cloud 项目将仅支持托管和管理 Artifact Registry 中 gcr.io 网域的映像。

  Container Registry 计划于 2025 年 3 月 18 日关停。如需详细了解弃用情况，请参阅 Container Registry 弃用。

您还可以更新 CLOUD_WORKSTATIONS_CUSTOM_IMAGE 环境变量以指向代码库。

如需详细了解如何在 Artifact Registry 中存储 Docker 映像，请参阅以下部分：

• 如何使用 Artifact Registry 创建 Docker 代码库。
• 代码库和映像名称的命名惯例。

托管您的自定义容器映像

如需托管自定义容器映像，我们推荐并支持 Artifact Registry。如果您使用 GitHub 或任何其他公共或私有代码库，则 Cloud Workstations 可能无法按预期运行。如需了解详情，请参阅使用自定义容器映像部分中的重要说明。

测试自定义容器映像

容器构建完毕后，您可以使用以下命令对其进行测试：

docker run --privileged -p LOCAL_PORT:CONTAINER_PORT TARGET_IMAGE

请替换以下内容：

• LOCAL_PORT：本地端口号
• CONTAINER_PORT：容器端口号

例如，将 LOCAL_PORT:CONTAINER_PORT 替换为 8080:80 会分配端口 8080 以供在本地使用，以及分配端口 80 以在容器中使用。

如果您要扩展 Cloud Workstations 基本编辑器映像，请运行 docker 命令，然后通过本地浏览器连接到工作站或运行 ssh 以连接到容器，从而测试工作站映像：

• 如果您通过浏览器进行连接，请确保将 -p 8080:80 传递给 docker run 命令，然后打开 localhost:8080。
• 如果您希望通过 SSH 进行连接，请确保将 -p 2222:22 传递给 docker run 命令，然后运行 ssh user@localhost -p 2222。

使用自定义容器映像

如需在本地构建和测试自定义容器映像后使用该映像，请使用以下命令将容器推送到 Artifact Registry（或 Container Registry）：

docker push TARGET_IMAGE

您现在可以使用刚刚创建并推送的容器映像创建工作站配置。

重要提示 ：如果您的映像托管在私有代码库中，请确保您的工作站配置还指定对代码库具有拉取权限的服务帐号。

如需了解详情，请参阅使用 Artifact Registry 创建 Docker 代码库。

调试问题

如需查找和调试容器映像运行方面的问题，请从正在运行的工作站查看容器输出日志。

推荐：帮助保护映像流水线

您负责维护和更新在自定义映像中添加的自定义软件包和依赖项。

如果您要创建自定义映像，建议您采取以下措施：

• 在 Cloud Workstations 基础映像更新时自动重建这些映像，帮助保护映像流水线。

• 运行容器扫描工具（如 Artifact Analysis），以检查您添加的任何其他依赖项。

• 安排构建以每周重新构建映像，或了解如何自动执行容器映像重建。

后续步骤

• 自动重新构建容器映像，以使用 Cloud Build 和 Cloud Scheduler 同步基础映像更新。
• 设置最佳安全做法。
• 详细了解 Artifact Analysis。