将现有Dockerfile转换为distroless镜像时出现pip报错如何解决

gcr.io/distroless/python3属于无发行版（distroless）基础镜像，仅保留Python运行时必需的最小文件集，默认不包含shell、pip、系统命令等非运行时组件。仅从构建阶段复制pip二进制文件会因缺少依赖库无法执行，就是本次报错pip: not found的核心原因。

所有依赖安装、文件权限配置操作全部放在第一阶段完成，第二阶段仅复制运行时必需的文件即可，修正后的Dockerfile如下：

# 第一阶段：构建环境，完成所有下载、安装、配置操作
FROM lab.com:5000/python:3.9.2-slim-buster AS build-env
WORKDIR /build

# 安装系统依赖、下载kubectl并配置权限
RUN apt-get update && apt-get install -y curl && apt-get clean
RUN curl -LO https://storage.googleapis.com/kubernetes-release/release/$(curl -s https://storage.googleapis.com/kubernetes-release/release/stable.txt)/bin/linux/amd64/kubectl
RUN chmod +x ./kubectl && mv ./kubectl /usr/local/bin/kubectl

# 安装Python依赖，指定安装到统一目录方便后续复制
RUN pip install --target=/build/python-deps SomePackage

# 复制业务代码
COPY base_platform_update ./base_platform_update

# 第二阶段：运行环境，仅保留运行时文件
FROM gcr.io/distroless/python3
WORKDIR /script

# 从构建阶段复制必需文件
COPY --from=build-env /usr/local/bin/kubectl /usr/local/bin/kubectl
COPY --from=build-env /build/python-deps /usr/local/lib/python3.9/site-packages
COPY --from=build-env /build/base_platform_update ./base_platform_update

# 配置环境变量
ENV PYTHONPATH=/script/base_platform_update

# 配置启动入口
ENTRYPOINT ["python3", "base_platform_update/core/main.py"]

• Python依赖通过pip --target参数指定安装到/build/python-deps目录，第二阶段直接复制该目录内容到Python默认的site-packages路径即可生效，无需在运行阶段执行pip命令
• kubectl的权限配置在第一阶段完成，避免在distroless镜像中执行chmod等系统命令
• 如果不确定Python版本对应的site-packages路径，可在第二阶段将依赖目录加到PYTHONPATH中：ENV PYTHONPATH=/script/base_platform_update:/python-deps，同时将依赖复制到根目录COPY --from=build-env /build/python-deps /python-deps即可，兼容性更高

内容的提问来源于stack exchange，提问作者ray an