buildah commit

这样做的一个好处是可以真正构建出一个非常精简的容器镜像，因为用户在构建镜像过程中不需要安装任何依赖。通常在构建镜像时，目标应用的构建需要容器内部安装相应的依赖。比如从源代码构建一个应用就需要容器中安装编译器。大量容器中会附带ps或者bash命令，这些命令对于微容器其å®是多余的。而开发者往往会忘记从镜像中删除这类多余的依赖。这也就带来了额外的开销和可能的安全隐患。

Buildah这种构建方式使得用户构建镜像是在非root权限下，这带来了一系列麻烦，比å¦mount命令需要CAP_SYS_ADMIN权限，无法在容器中构建容器等等。

手动逐步提交允许用户细粒度的控制创建容器的快照。在Dockerfile中每一行都会创建一个新的快照。借助Buildah则可以控制快照的创建ï¼从而隔离敏感数据。

因为Docker采用了非标准的镜像格式，Buildah除了能构建标准OCI镜像外，还可以通过build-using-dockerfile或者buildah bud来解析Dockerfile。除此以外，buildah还支持enter命令来查看镜像并通过run命令直接启动容器。而完成上述这些操作仅需要一个标准runc工具。

Ducy批评Buildah没有遵循声明方式，因此镜像的构建不可重复。比如构建过程中执行shell命令就可能造成各种不一致的结æ。Walsh则认为已有的配置管理工具可以基于Buildah之上，这正是践行了经典的UNIX哲学中的"分离"原则（提供机制而非策略）。

在写作本文时，Buildah还处在beta版本。而红帽正尝试将其集成到OpenShift。从试用的情况看，Buildah工作的非常稳定。
[编辑] Replacing the rest of the Docker command-line

Walsh在演讲中提到的另一个工具是libpod。名字源于Kubernetes中的"pod"。

libpod中包含的kpod命令可以说是一个docker命令的翻版。kpod中重新实现了大量的docker命令，比如列出运行的容器（kpod ps）或者查看镜像（kpod images）。这里的对照表列出了当前kpod支持的所有docker命令。

kpod提供的一个实用的功能是可以直接启动容器。这也就意味着容器的启动并不需要经过dockerd。我们可以通过systemd来启动容器。这对于一些应用是非常友好的。但是目前kpod还缺少一些非常基本的功能，比如网络。

上述的所有工具都是针对本地容器的，而用户会使用push命令来上传镜像。skopeo项目可以完成很多与镜像相关的操作。该项目的初衷是在线查看容器镜像服务中的镜像内容而无需下载。但是Docker拒绝合并这组补丁，而是建议单独创建一个工具来完成这些工作，这也导致了skopeo项目的诞生。由于许多项目都需要这一功能，因此skopeo的代码被用在了很多项目中，比如Pivotal，container-diff，kpod push，buildah push等。

kpod命令并没有和Kubernetes绑定，因此命令的名字在将来会修改。事实上在这篇文章撰写过程中，命令就已经修改为https://github.com/projectatomic/libpod/blob/master/docs/podman.1.md podman]。此外团队计划实现更多pod一级的命令。

上面提到的这些工具都还在开发过程中，并没有任何工具能够直接使用到生产环境中。如果想使用其中的工具，最简单的方法就是直接通过源代码进行编译。也许在不ä¹的将来我们能够直接通过包管理工具来安装这些工具。