Alpineを使ってみる

dockerの脆弱性管理の調べものをしようかなと思った際、いくつかのイメージのベースで見たことがあるalpine linuxの脆弱性管理について一回ちゃんと調べてみるかぁという気になりまして。
せっかくなら調査だけじゃなくある程度環境つくり込んでみようかなと思って調べていたら、、「sway」パッケージがあるじゃないですか！！
まさかWMまで用意されてると思わなかったので、せっかくなのでデスクトップ環境として組んでみたらどうなるか試しつつ、脆弱性管理周りの情報を整理してみようと思います。

Alpineのインストール

インストール

とりあえずダウンロードはこちらから。
https://www.alpinelinux.org/downloads/

今回はStandard/x86_64のisoをダウンロードして、これをVirtual Boxにマウント初めて見ようと思います。
起動すると、、

手順を見ると、root/<パスワードなし>でまずログインのようです。
https://wiki.alpinelinux.org/wiki/Installation

で、

# setup-alpine

対話的に色々答えていきます。

他のディストリでも答えていることばかりなのですが、CUIだと途端にめんどくさく感じるものですね。。

isoをVMから外すので、rebootではなくshutdown,,,,はないので、poweroff。

Swayの導入（失敗）

では、swayを入れてみます。
swayはcommunityレポジトリにあるので、/etc/apk/repositoriesを編集してcommunityの行のコメントを削除する必要があります。

# apk update
# apk install sway

で、、

。。。めんど。
心が折れました。。

xorgベースは、入れればちゃんと入るようです。
https://qiita.com/tukiyo3/items/4e4c9ec1ef0df82d3137

swayがすぐ動くようならarchlinuxと併用してみようと思いましたが、、やめときます。。
今回の記事の調査までで、あとはdockerとしてのお付き合いに戻ろうと思います。。

Aplineの脆弱性管理

バージョン管理とライフサイクル

https://www.alpinelinux.org/releases/
There are several release branches for Alpine Linux available at the same time. Each May and November we make a release branch from edge. The main repository is typically supported for 2 years and the community repository is supported until next stable release.

Edgeというのが開発版で、大体5月と11月に一回vX.XXとして区切って安定版を出すのですね。
で、各安定版へのアップデート提供は２年まで、ってとこでしょうか。
バージョン名が連番なのでわかりにくかったのですが、Ubuntuと似た感じのサイクルですね。
偶数年４月版の長期サポートみたいなルールがない分わかりやすいっちゃわかりやすい。

情報公開方式

以下の情報とNVDの情報をマージして整形しているみたいですね。
https://secdb.alpinelinux.org/v3.12/main.json

検索性はちと微妙ですが、必要な情報は揃っている感じです。

アップデート

パッケージ情報の最新化がapk update、で実際のアップデートがapt upgrade。

まとめ

dockerのベースとしてよく見かけるalpine linuxについて調べてみました。
かなり特殊なLinuxなのかと思ったら、思いの外普通なディストリでした。