buildah 可在 linux 上无需 docker daemon 实现轻量安全的 oci 镜像构建，支持 rootless 运行、ci/cd 自动化及命令式或 dockerfile 两种构建模式，兼容 podman/cri-o/k8s。
Buildah 能在 Linux 上完全绕开 Docker daemon，实现轻量、安全、可脚本化的镜像构建。它不依赖后台服务，所有操作基于用户命名空间和 OCI 标准库完成，天然适合 CI/CD 自动化流水线。
安装与权限准备
主流发行版直接用包管理器安装即可：
- Fedora/RHEL/CentOS Stream：sudo dnf install buildah
- Ubuntu/Debian（22.04+）：sudo apt update && sudo apt install buildah
- Arch Linux：sudo pacman -S buildah
验证安装后运行 buildah --version，建议版本 ≥1.30。普通用户默认可运行（需系统启用 user namespaces），检查 /proc/sys/user/max_user_namespaces 是否 ≥10000；若报错，临时提升：sudo sysctl user.max_user_namespaces=10000。
两种自动化构建模式选型
根据项目成熟度选择：
- 已有 Dockerfile？直接用 buildah bud -t myapp:ci . —— 兼容语法，零修改迁移，适合快速接入 CI
- 需精细控制层、调试构建逻辑或做多阶段裁剪？用命令式流程：buildah from → run → copy → config → commit，每步可独立失败重试，日志清晰，便于 shell 脚本封装
例如 CI 中构建 Go 应用的两阶段脚本片段：
base=$(buildah from golang:1.22) buildah run $base -- go build -o /app main.go final=$(buildah from alpine:latest) buildah copy --from=$base $final /app /app buildah config --cmd "/app" $final buildah commit $final myapp:prod
CI 环境下的关键实践
在 GitLab CI、GitHub Actions 等环境中，Buildah 的优势真正释放：
- 无需安装 docker-ce 或配置 dockerd socket，避免权限和安全策略冲突
- 构建过程无守护进程残留，job 结束即彻底干净，资源占用低
- 支持 rootless 运行，配合 --userns-keep-ids 可在容器内安全构建
- 推送前可集成 cosign 签名：cosign sign --key cosign.key myapp:prod，再 buildah push
典型 GitHub Actions 步骤示例：
- name: Build and push
run: |
buildah bud -t ${{ secrets.REGISTRY }}/myapp:${{ github.sha }} .
buildah login -u ${{ secrets.REGISTRY_USER }} -p ${{ secrets.REGISTRY_TOKEN }} ${{ secrets.REGISTRY }}
buildah push ${{ secrets.REGISTRY }}/myapp:${{ github.sha }} docker://${{ secrets.REGISTRY }}/myapp:${{ github.sha }}
构建后清理与验证
自动化流程中易忽略但影响稳定性：
- 每次 buildah from 会生成临时工作容器，务必在脚本末尾 buildah rm -a 清理，防止磁盘填满
- 用 buildah images 和 buildah inspect myapp:prod 验证标签、CMD、ExposedPorts 等元数据是否符合预期
- 导出为 OCI 归档供离线环境使用：buildah push myapp:prod oci-archive:/tmp/myapp.tar:latest
整个流程不启动任何守护进程，所有命令执行完立即退出，构建结果是标准 OCI 镜像，可直接被 Podman、CRI-O 或 Kubernetes 拉取运行。
