2023-05-10 頃？以前のWindows servercore Image (2019) の mediaType

Docker Image Manifest にはレイヤーや容量、ダイジェスト値といった Image に関する情報が含まれています。
例えば、Manifest を確認することで、Image 名や、アーキテクチャ、OS 情報等も取得可能です。
Manifest の記載内容は以下の様なコマンドで確認できます。


 % docker manifest inspect --verbose mcr.microsoft.com/windows/servercore:10.0.17763.4377
[
	{
		"Ref": "mcr.microsoft.com/windows/servercore:10.0.17763.4377@sha256:c80f3eb3fddc3cacc5d779de0135906842a7195c21ba8cdefc373e2e548eeeaf",
		"Descriptor": {
			"mediaType": "application/vnd.docker.distribution.manifest.v2+json",
			"digest": "sha256:c80f3eb3fddc3cacc5d779de0135906842a7195c21ba8cdefc373e2e548eeeaf",
			"size": 886,
			"platform": {
				"architecture": "amd64",
				"os": "windows",
				"os.version": "10.0.17763.4377",
				"os.features": [
					"win32k"
				]
			}
		},
		"SchemaV2Manifest": {
			"schemaVersion": 2,
			"mediaType": "application/vnd.docker.distribution.manifest.v2+json",
			"config": {
				"mediaType": "application/vnd.docker.container.image.v1+json",
				"size": 788,
				"digest": "sha256:66a1a48cbc112ec01f8af22153b50e4d1a0e8b74e190594222ef9d3b0d4a7b9b"
			},
			"layers": [
				{
					"mediaType": "application/vnd.docker.image.rootfs.foreign.diff.tar.gzip",
					"size": 1660377526,
					"digest": "sha256:8185ee4ed6467d79d4c69f02fe3902311ba84777802d459dcd99869f603b161f",
					"urls": [
						"https://mcr.microsoft.com/v2/windows/servercore/blobs/sha256:8185ee4ed6467d79d4c69f02fe3902311ba84777802d459dcd99869f603b161f"
					]
				},
				{
					"mediaType": "application/vnd.docker.image.rootfs.foreign.diff.tar.gzip",
					"size": 356019256,
					"digest": "sha256:d1629109497f302d0776ee05c686b635ce10daa442b8fe27777aa7e7f3f4c685",
					"urls": [
						"https://mcr.microsoft.com/v2/windows/servercore/blobs/sha256:d1629109497f302d0776ee05c686b635ce10daa442b8fe27777aa7e7f3f4c685"
					]
				}
			]
		}
	}
]

Image Manifest V2 に関するshemaについては、こちらも確認してみてください。上記のImage は 2023-05-10に公開されたものです。

Windows Image の場合、特徴的だったのは、layers 以下の部分で、

			"layers": [
				{
					"mediaType": "application/vnd.docker.image.rootfs.foreign.diff.tar.gzip",
					"size": 1660377526,
					"digest": "sha256:8185ee4ed6467d79d4c69f02fe3902311ba84777802d459dcd99869f603b161f",
					"urls": [
						"https://mcr.microsoft.com/v2/windows/servercore/blobs/sha256:8185ee4ed6467d79d4c69f02fe3902311ba84777802d459dcd99869f603b161f"
					]
				},
   
    <snip>

mediaType の部分です。上記の場合、application/vnd.docker.image.rootfs.foreign.diff.tar.gzip　となっていて、これは、当該 Layer が gzip された tar であり、レジストリにプッシュされないという動作になります。
その為、この Layer は取得する場合、 ulrs に記載されたアドレスからダウンロードする(例だと mcr.microsoft.com)からダウンロードしなくてはなりません。

例えば、開発したアプリケーションを含めたWindows イメージを ECR に push した場合でも、上記のmediaTypeが設定された Layer は ECR には通常、pushされません。その為、自身で build したコンテナイメージを利用したい場合でも

Base Image部分は MS社のレジストリからダウンロード
カスタマイズした部分は ECRからダウンロード

といった様な動きになります。(コンテナホストにキャッシュがない場合)

最近の Image

2023-06-23頃に公開された Image の Manifestでは、以下の様になっていました。

 docker manifest inspect --verbose mcr.microsoft.com/windows/servercore:10.0.17763.4499
[
	{
		"Ref": "mcr.microsoft.com/windows/servercore:10.0.17763.4499@sha256:169e0b6968015a6ce48ade6c7aa4fc9375c18f9581dc47bfbb296c2b61747c73",
		"Descriptor": {
			"mediaType": "application/vnd.docker.distribution.manifest.v2+json",
			"digest": "sha256:169e0b6968015a6ce48ade6c7aa4fc9375c18f9581dc47bfbb296c2b61747c73",
			"size": 430,
			"platform": {
				"architecture": "amd64",
				"os": "windows",
				"os.version": "10.0.17763.4499",
				"os.features": [
					"win32k"
				]
			}
		},
		"SchemaV2Manifest": {
			"schemaVersion": 2,
			"mediaType": "application/vnd.docker.distribution.manifest.v2+json",
			"config": {
				"mediaType": "application/vnd.docker.container.image.v1+json",
				"size": 625,
				"digest": "sha256:0e4e89ebdca4bd921242bbc5f428cbf50d82b4e0886b59045f85bf9ad6e68bff"
			},
			"layers": [
				{
					"mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
					"size": 1604146467,
					"digest": "sha256:0aff88f72bd4668c33a9d95992707d5c4cb00d125d4bce7e5879f35cb935a756"
				}
			]
		}
	}
]

こちらでは、layersに記載されているmediaTypeがapplication/vnd.docker.image.rootfs.diff.tar.gzipに変わってますね。この場合、自身でbuildしたコンテナイメージをECRにpushすると全てのLayerがECRにpushされる様になります。

何故変わったのか？

実は、こちらのブログで、Base Image の再配布に関する権利が変更になった事がアナウンスされていました。公開されたのは2022年10月頃の様なので、結構前の事ですね。

どうやら、インターネットアクセスが無い環境でも Windows コンテナを使いやすくする事を目的とした変更だった様です。この変更を受けて、OCI Image Specでも "Layer" with distribution restrictionsがdeprecated になった様です。

Foreign Layer を ECR　に push する方法

以前から、Foreign Layer を push　することも可能で、dockerdの設定として、deamon.jsonに以下の様な記述をすれば、以前からECRにpushすることは可能でした。

{
    "allow-nondistributable-artifacts": ["<account_id>.dkr.ecr.<region>.amazonaws.com"]
}

最近の Image では、Foreign Layer自体が使われていない様なので、上記の設定は不要になります。

AWS　上で Windows コンテナを動かすのに嬉しいことあるの？

ぱっと思いつくところだと、

全てのLayerが ECR 上からダウンロードすることになるので、Image　を pull するのが早くなるかも？
全ての Layerが ECR 上に保持されるので、保存サイズが大きくなる

という変化はありそうです。嬉しいかどうかは、ユースケース次第でしょうか。