容器化迁移中的镜像治理别把旧包袱直接搬上云
上周跟做运维的老周聊，他刚熬完半个月的容器化迁移项目，人快脱相了。
问他最糟心的环节是什么。
他说不是K8s集群搭不起来，也不是跨可用区的网络策略调不通。是迁到一半才发现，之前攒了好几年的几百个旧镜像，一半连依赖的软件包版本都对不上，还有三分之一里面塞着早就废弃的测试代码，甚至有个镜像里还留着三年前的测试数据库密码。
大部分人把镜像治理的顺序搞反了
很多团队做容器化迁移的流程，是先把虚拟机上的应用打包成镜像，丢进私有仓库，再迁到K8s集群跑通业务链路，就算完事。
镜像治理？那不是等系统跑稳了，有空再扫扫漏洞的收尾工作吗？
错得离谱。
你想啊，旧虚拟机上跑的应用，可能从2019年就没人动过，当时装的openssl版本带公开的远程代码执行漏洞，你直接打成镜像迁过去，等于把带着漏勺的旧箱子直接搬进新家，连个封条都不贴。
之前见一个团队做迁移筹备，提前两周把仓库里所有存量镜像拉出来梳理，删了快60%的无用镜像，正式迁移的时候仓库跨区域同步的带宽直接省了三分之二，镜像拉取速度从平均12秒降到2秒。
听起来好像稳赚不赔？
不对。他们为了筛哪些镜像还在被业务使用，花了3个工程师整整一周的时间，挨个找对应业务的开发确认，整个项目的 timeline 直接往后推了一周，业务部门催了三次，问能不能先迁上去再慢慢整理仓库。
这就是最现实的取舍。你要提前做治理，就得接受进度被拖后的压力；你要是先迁再治理，就得做好后面踩坑的准备。没有两全的方案。
别信什么一步到位的镜像治理方案
说实话，我见过太多团队，一开始就想搞个完美的治理体系。什么每个镜像都要打严格的语义化标签，每层镜像都要做依赖扫描，所有基础镜像都要统一用官方源构建，甚至要求开发提交镜像之前必须过三道交叉审核。
结果呢？
迁移进度卡了整整两个月，开发怨声载道，说本来迁容器就是为了提效，现在比之前在虚拟机上打包部署还麻烦。
真没必要。
迁移阶段的镜像治理，就抓三个最核心的事就行，多一件都别做。
第一，所有要迁的镜像，必须扫一遍公开的高危漏洞，凡是带未修复的远程代码执行级别漏洞的，不管多麻烦，先把补丁打了再迁。别等迁上去之后半夜被安全团队的告警电话叫醒，爬起来重新打镜像重启服务，那才是真的耽误事。
第二，把那些根本没人用的镜像全清了。什么测试环境临时打了就丢在仓库里的，什么半年前版本迭代早就废弃的，什么同一个应用打了十几个不同tag的调试镜像，全删。别心疼存储那点钱，留着除了占仓库空间，给拉镜像添堵，没有任何价值。
第三，别用那种几百MB的‘全家桶’基础镜像。我见过最夸张的一个镜像，里面塞了Java环境、Python环境、Node环境，甚至还有个没删干净的MySQL客户端，整个镜像快1.2G，每次拉镜像要等半分钟，迁上去之后Pod启动慢得像蜗牛。这种镜像，迁移阶段能拆就拆，拆不了就至少把里面没用的包删掉，瘦个身，能小多少是多少。
至于什么标签规范，什么镜像签名校验，什么跨团队的镜像共享机制，那些都是迁移完，系统跑稳了之后再慢慢磨的事。你迁移阶段天天赶进度，哪有精力搞那么细？
别被厂商的宣传忽悠了，说什么迁移过程中必须同步完成全量镜像治理，不然就会有天大的风险。说白了，真要全按那个标准来，你这项目至少多花一倍的人力成本，多拖三个月的时间，最后业务部门第一个不答应。
最容易被忽略的隐性成本
很多人算镜像治理的账，只算扫漏洞、删镜像、瘦身花的人力时间，算来算去觉得不如直接把旧镜像搬上去划算。
但他们没算过后面的账。
你直接把带高危漏洞的镜像迁上去，后面每个季度的安全合规检查，你都要花人去写说明，为什么这个镜像里的开源组件版本还没升级。你留着几百个没用的镜像在仓库里，后面每次做跨区域镜像同步，都要多付一大笔存储和流量成本，甚至因为仓库响应慢，拉镜像超时导致Pod调度失败，高峰期业务出故障。你用那种臃肿的大镜像，后面每次集群扩容，每次节点升级，拉镜像的时间都会比别人多好几倍，高峰期业务扩容慢个几十秒，造成的损失可能比你当初省的那点人力成本多得多。
我之前碰到过一个年轻运维，当初迁移的时候图省事，啥镜像都直接往上搬，觉得反正应用能跑起来就行。结果上线第三个月，因为一个旧镜像里的开源组件漏洞被外部扫描器命中，被入侵爬走了半库的用户数据，最后背了个记过处分，半年的绩效都没了。
你说这当初省的那点事，值吗？
不过话说回来，也别走到另一个极端。比如有人为了赶迁移进度，连最基本的高危漏洞扫描都不做，直接把所有旧镜像一股脑迁上去，那跟把家里漏煤气的旧罐子直接搬到新小区有啥区别？指不定哪天就炸了。
其实迁移阶段的镜像治理，真的没那么玄。你不用搞什么复杂的流程，就花个三四天时间，把要迁的镜像过一遍，扫扫高危漏洞，删点没用的文件，瘦个身，花的时间真的不多。
容器化迁移从来不是把旧的东西直接搬到新环境就完事。镜像这东西，就跟你搬家收拾箱子一样。你要是把之前攒了十几年的破烂全打包搬到新家，那新家很快就会变成堆满杂物的旧仓库。治理的早，后面省的事，比你现在花的那点时间，多太多了。