Руководство по выбору встроенных образов инструментов

Эта страница поможет вам быстро выбрать подходящий образ инструментов для шагов вашего pipeline. Доступны три способа найти нужный образ:

Выбор образа по сценарию — что мне нужно сделать? Какой образ следует использовать?
Поиск образа по инструменту — мне нужен конкретный инструмент. Какие образы его содержат?
Сведения об образе — полная информация по каждому образу: registry, теги, инструменты и границы применения.

Примечание: все адреса образов в этом документе используют registry.alauda.cn:60070 в качестве примера префикса. Во время выполнения он автоматически заменяется на фактический адрес registry вашей среды.

Выбор образа по сценарию

Быстрый старт: найдите назначение текущего шага pipeline и сразу используйте рекомендованный образ.

Category	Scenario	Recommended Image	Description
Source Control	Клонирование кода, checkout, submodules	`git-init`	Специализированный образ для git clone с поддержкой аутентификации и submodule
	Автоматизация GitLab MR / repository	`glab`	GitLab CLI для создания MR, комментариев и merge
Build	Сборка и тестирование Go	`golang`	Полный Go toolchain с golangci-lint
	Сборка, тестирование и упаковка Java	`maven`	Maven + JDK 21
	Сборка, тестирование и публикация .NET	`dotnet`	Образ .NET SDK LTS для компиляции приложений
	Скрипты и тесты Python	`python`	Python + pip
	Сборка и тестирование Node.js	`nodejs`	Node.js LTS runtime
Image & Artifact	Сборка и push OCI image	`buildah`	Rootless-сборка, без необходимости в Docker daemon
	Объединение multi-arch manifest (`merge-image` Task), copy, retag и синхронизация registry	`crane`	Использует `crane index append` для создания и публикации manifest list без стадии сборки
	Упаковка и публикация Helm chart	`helm`	Включает oras, kubectl, yq
Security & Compliance	Сканирование уязвимостей image/filesystem	`trivy`	Предзагруженная база уязвимостей
	Генерация SBOM	`syft`	Включает cosign для опционального подписания
	Подписание и проверка image	`cosign`	Поддерживает keyless и attestation
	Сканирование качества кода	`sonarqube-scanner`	SonarQube Scanner + JDK 21
	Pre/post script для SonarQube	`sonarqube-shell`	Минимальная bash-среда для workflow SonarQube
	Вспомогательный CLI для SonarQube	`sonarqube-cli`	Пользовательский sonar CLI для связующих шагов
Deploy & Operations	Развертывание ресурсов Kubernetes	`kubectl`	kubectl + yq
	Управление Application CRD	`kubectl-app-manager`	kubectl-application plugin + kubectl
	Рендеринг манифестов GitOps	`kustomize`	kustomize + yq + git
General	Выполнение скриптов, легковесная автоматизация	`run-script`	Минимальный Alpine с bash/curl/tar
	Уведомление по email	`msmtp`	Легковесный SMTP client

Поиск образа по инструменту

Уже знаете, какой инструмент вам нужен? Найдите все образы, которые его содержат, и выберите тот, который лучше всего подходит для вашего сценария.

Tool	Images containing this tool
bash	`run-script` `cosign` `trivy` `syft` `glab` `sonarqube-shell` `helm` `kubectl` `kubectl-app-manager` `kustomize` `msmtp` `dotnet`
curl	`run-script` `cosign` `trivy` `syft` `glab` `helm` `kubectl` `kubectl-app-manager` `dotnet`
jq	`cosign` `trivy` `glab` `helm` `kubectl` `kubectl-app-manager` `kustomize` `syft` `crane` `dotnet`
tar	`run-script` `cosign` `trivy` `glab` `helm` `kubectl` `kubectl-app-manager` `syft` `dotnet`
git	`git-init` `glab` `kustomize` `sonarqube-scanner`
yq	`kubectl` `kubectl-app-manager` `kustomize` `helm`
kubectl	`kubectl` `kubectl-app-manager` `helm`
helm	`helm` (v4.1 / v3.18)
oras	`helm`
kustomize	`kustomize`
cosign	`cosign` `syft`
trivy	`trivy`
syft	`syft`
buildah	`buildah`
crane	`crane`
glab	`glab`
golangci-lint	`golang`
sonar-scanner	`sonarqube-scanner`
sonar (CLI)	`sonarqube-cli`
msmtp	`msmtp`
Node.js	`nodejs`
npm	`nodejs`
Go	`golang`
JDK	`maven` `sonarqube-scanner`
Maven	`maven`
.NET SDK	`dotnet`
Python	`python`
pip	`python`

Сведения об образах

Полный формат адреса: <registry>:<tag>, например registry.alauda.cn:60070/devops/tektoncd/hub/kubectl:latest.

General

run-script

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/run-script`
Tag	`latest` `v3.21`
Main Tools	bash 5.x
Bundled Tools	curl, tar
Best For	Общие задачи со скриптами, быстрое прототипирование, легковесная автоматизация
Not Recommended	Когда требуются Java/Go/Helm/Kustomize или другие специализированные toolchain

msmtp

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/msmtp`
Tag	`latest` `v1.8`
Main Tools	msmtp 1.8
Bundled Tools	bash, openssl, ca-certificates
Best For	Отправка email-уведомлений после завершения шагов pipeline
Not Recommended	Сценарии без email; используйте `run-script`, когда нужны другие инструменты

Source Control

git-init

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/git-init`
Tag	`latest` `v1.1`
Main Tools	git-init 1.1
Bundled Tools	git
Best For	Клонирование repository, checkout, обработка submodule, аутентифицированное клонирование
Not Recommended	Шаги сборки, сканирования или развертывания, не связанные с checkout кода

glab

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/glab`
Tag	`latest` `v1.82`
Main Tools	glab 1.82
Bundled Tools	git, jq, curl
Best For	GitLab MR, совместная работа над repository, автоматизация GitLab
Not Recommended	Шаги pipeline, не связанные с GitLab

Build

golang

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/golang`
Tag	`latest` `v1.26`
Main Tools	Go 1.26
Bundled Tools	golangci-lint 2.9
Best For	Workflow сборки, тестирования, lint и release для Go
Not Recommended	Workflow сборки Java/Python

maven

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/maven`
Tag	`latest` `v3.9-jdk21`
Main Tools	Maven 3.9, JDK 21
Bundled Tools	shell runtime
Best For	Сборка, тестирование, упаковка и публикация Java-проектов
Not Recommended	Не-Java стек или случаи, когда требуется Gradle/SBT

python

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/python`
Tag	`latest` `v3.13`
Main Tools	Python 3.13
Bundled Tools	pip
Best For	Выполнение скриптов Python, тестирование, служебные задачи
Not Recommended	Workflow сборки Java/Go

dotnet

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/dotnet`
Tag	`latest` `v10.0`
Main Tools	.NET SDK 10.0 (LTS)
Bundled Tools	dotnet CLI
Best For	Workflow .NET restore/build/test/publish
Not Recommended	Workflow сборки/push OCI image (используйте `buildah`)

nodejs

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/nodejs`
Tag	`latest` `v24` `v24.14`
Main Tools	Node.js 24
Bundled Tools	npm
Best For	Workflow сборки, тестирования и упаковки проектов Node.js
Not Recommended	Workflow сборки Go/Java/Python

Image & Artifact

buildah

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/buildah`
Tag	`latest` `v1.33`
Main Tools	buildah 1.43 (image tag v1.33 — это версия image; версия инструмента — 1.43)
Bundled Tools	поддержка rootless build
Best For	Сборка и push OCI image
Not Recommended	Только сканирование уязвимостей, подписание или генерация SBOM

crane

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/crane`
Tag	`latest` `v0.20`
Main Tools	crane 0.21 (image tag включает `v0.20`)
Bundled Tools	jq
Best For	Объединение multi-arch image (создание/push manifest list, используется Task `merge-image`), а также copy/retag/listing tag и синхронизация между registry
Not Recommended	Workflow сборки image (используйте `buildah`), сканирование уязвимостей (`trivy`) или подписание (`cosign`)

helm

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/helm`
Tag	`latest` `v4.1` `v3.18`
Main Tools	helm 4.1 (тег v4.1) / helm 3.18 (тег v3.18)
Bundled Tools	oras 1.3, kubectl 1.33, yq 4.47
Best For	Упаковка, публикация, установка и обновление Helm chart
Not Recommended	Общее patching ресурсов или чистые workflow Kustomize

Security & Compliance

trivy

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/trivy`
Tag	`latest` `v0.65`
Main Tools	trivy 0.65
Bundled Tools	bash, curl, jq
Best For	Сканирование уязвимостей image, filesystem и manifest; база предзагружена, обновление по сети не требуется
Not Recommended	Когда требуется подписание/проверка или генерация SBOM

syft

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/syft`
Tag	`latest` `v1.42`
Main Tools	syft 1.42 (image tag v1.42 соответствует версии binary syft)
Bundled Tools	cosign 2.6
Best For	Генерация SBOM, вывод материалов supply chain
Not Recommended	Только подписание (используйте `cosign`) или только сканирование уязвимостей (используйте `trivy`)

cosign

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/cosign`
Tag	`latest` `v2.5`
Main Tools	cosign 2.6 (image tag v2.5 — это версия image; версия инструмента — 2.6)
Bundled Tools	bash, curl, jq
Best For	Подписание image/artifact, проверка, attestation
Not Recommended	Когда требуется генерация SBOM или сканирование уязвимостей

sonarqube-scanner

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/sonarqube-scanner`
Tag	`latest` `v8.0`
Main Tools	sonar-scanner 8.0, JDK 21
Bundled Tools	git
Best For	Сканирование кода в SonarQube и quality gate
Not Recommended	Выполнение скриптов, checkout кода или шаги сборки image

sonarqube-shell

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/sonarqube-shell`
Tag	`latest` `v4.7`
Main Tools	bash (унаследован из базового image)
Bundled Tools	—
Best For	Скрипты предварительной/последующей обработки в workflow SonarQube
Not Recommended	В качестве основного image для сканирования (используйте `sonarqube-scanner`)

sonarqube-cli

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/sonarqube-cli`
Tag	`latest` `v4.7`
Main Tools	sonar (пользовательский вспомогательный CLI)
Bundled Tools	env-entrypoint script
Best For	Вспомогательная обработка и связующие шаги в workflow SonarQube
Not Recommended	Как замена основного scanner или универсальной базы для pipeline

Deploy & Operations

kubectl

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/kubectl`
Tag	`latest` `v1.33`
Main Tools	kubectl 1.33
Bundled Tools	yq 4.47
Best For	apply/patch/rollout ресурсов Kubernetes и общие операции
Not Recommended	Когда требуется workflow Helm release или plugin Application CRD

kubectl-app-manager

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/kubectl-app-manager`
Tag	`latest` `v0.1`
Main Tools	kubectl-application, kubectl 1.33
Bundled Tools	yq 4.47
Best For	Управление жизненным циклом Application CRD и release
Not Recommended	Общие операции Kubernetes (предпочтительнее `kubectl`)

kustomize

Field	Content
Registry	`registry.alauda.cn:60070/devops/tektoncd/hub/kustomize`
Tag	`latest` `v5.8`
Main Tools	kustomize 5.8
Bundled Tools	yq 4.47, git
Best For	Рендеринг манифестов GitOps, overlays и обновления patch
Not Recommended	Прямые изменения cluster online (предпочтительнее `kubectl`)

Примечания:

Все образы запускаются под UID 65532 (пользователь без root).

latest обычно указывает на новейший фиксированный тег, но может приводить к изменениям major version. Используйте фиксированные теги, если приоритетом является стабильность.

Версии инструментов указываются на уровне major.minor; patch-версии автоматически обновляются вместе с обновлениями image.

#Руководство по выбору встроенных образов инструментов

#Содержание

#Выбор образа по сценарию

#Поиск образа по инструменту

#Сведения об образах

#General

#run-script

#msmtp

#Source Control

#git-init

#glab

#Build

#golang

#maven

#python

#dotnet

#nodejs

#Image & Artifact

#buildah

#crane

#helm

#Security & Compliance

#trivy

#syft

#cosign

#sonarqube-scanner

#sonarqube-shell

#sonarqube-cli

#Deploy & Operations

#kubectl

#kubectl-app-manager

#kustomize

Руководство по выбору встроенных образов инструментов

Содержание

Выбор образа по сценарию

Поиск образа по инструменту

Сведения об образах

General

run-script

msmtp

Source Control

git-init

glab

Build

golang

maven

python

dotnet

nodejs

Image & Artifact

buildah

crane

helm

Security & Compliance

trivy

syft

cosign

sonarqube-scanner

sonarqube-shell

sonarqube-cli

Deploy & Operations

kubectl

kubectl-app-manager

kustomize