ARG JAVA_VERSION="16"
FROM bellsoft/liberica-openjdk-alpine-musl:${JAVA_VERSION}

# We have to keep this up to date.
ARG MAVEN3_VERSION="3.8.1"
ARG GRADLE_VERSION="7.1.1"
ARG DOCKER_VERSION="20.10.8"

# Links to download binary files.
ARG MAVEN3_CLI_URL="http://mirror.linux-ia64.org/apache/maven/maven-3/$MAVEN3_VERSION/binaries/apache-maven-$MAVEN3_VERSION-bin.zip"
ARG GRADLE_CLI_URL="https://services.gradle.org/distributions/gradle-${GRADLE_VERSION}-bin.zip"
ARG DOCKER_CLI_URL="https://download.docker.com/linux/static/stable/x86_64/docker-$DOCKER_VERSION.tgz"

# Add installation targets to PATH.
ENV PATH="/opt/apache-maven-$MAVEN3_VERSION/bin:/opt/gradle-$GRADLE_VERSION/bin:${PATH}"

# Ultimately update OS packages.
# hadolint ignore=DL3017, DL3018, DL3019
RUN  echo "http://dl-3.alpinelinux.org/alpine/latest-stable/main"      >  /etc/apk/repositories \
  && echo "http://dl-3.alpinelinux.org/alpine/latest-stable/community" >> /etc/apk/repositories \
  && apk update \
  && apk upgrade --available \
  && apk add git \
             curl \
             wget \
             tzdata \
             gettext \
             busybox-extras \
  && rm -rf /var/cache/apk/* \
  # ===== ===== ===== Install Apache Maven ===== ===== =====
  && curl -s -L -o     /opt/apache-maven-$MAVEN3_VERSION-bin.zip  $MAVEN3_CLI_URL \
  && unzip -q -d /opt  /opt/apache-maven-$MAVEN3_VERSION-bin.zip \
  && rm -f             /opt/apache-maven-$MAVEN3_VERSION-bin.zip \
  && mvn --version \
  && echo "​ Maven ${MAVEN3_VERSION} installed." \
  # ===== ===== ===== Install Gradle ===== ===== =====
  && curl -s -L -o     /opt/gradle-$GRADLE_VERSION-bin.zip  $GRADLE_CLI_URL \
  && unzip -q -d /opt  /opt/gradle-$GRADLE_VERSION-bin.zip \
  && rm -f             /opt/gradle-$GRADLE_VERSION-bin.zip \
  && gradle --version \
  && echo "​ Gradle ${GRADLE_VERSION} installed." \
  # ===== ===== ===== Install Docker CLI ===== ===== =====
  && curl -s -L -o /tmp/docker-$DOCKER_VERSION.tgz  $DOCKER_CLI_URL \
  && tar -x -z -C  /tmp -f /tmp/docker-$DOCKER_VERSION.tgz \
  && mv            /tmp/docker/docker  /usr/local/bin/ \
  && rm -f         /tmp/docker-$DOCKER_VERSION.tgz \
  && rm -rf        /tmp/docker \
  && docker --version \
  && echo "​ Docker CLI ${DOCKER_VERSION} installed."

variables:
  TOOLING_IMAGE: $CI_REGISTRY_IMAGE/tooling/java:16

tooling:
  stage: tooling
  image: docker:stable
  script:
    - cd tooling
    - docker run   --rm -i    hadolint/hadolint   < Dockerfile
    - docker build --rm --tag $TOOLING_IMAGE .
    - docker login --username $CI_REGISTRY_USER --password $CI_REGISTRY_PASSWORD  $CI_REGISTRY
    - docker push             $TOOLING_IMAGE
  only:
    changes:
      - tooling/*
  allow_failure: true

<plugin>
    <groupId>org.jacoco</groupId>
    <artifactId>jacoco-maven-plugin</artifactId>
    <version>0.8.7</version>
    <configuration>
        <destFile>jacoco-unit.exec</destFile>
        <dataFile>jacoco-unit.exec</dataFile>
    </configuration>
    <executions>
        <execution>
            <id>jacoco-prepare-agent</id>
            <phase>test-compile</phase>
            <goals>
                <goal>prepare-agent</goal>
            </goals>
        </execution>
        <execution>
            <id>jacoco-report</id>
            <phase>prepare-package</phase>
            <goals>
                <goal>report</goal>
            </goals>
        </execution>
        <execution>
            <id>jacoco-check</id>
            <phase>package</phase>
            <goals>
                <goal>check</goal>
            </goals>
            <configuration>
                <rules>
                    <rule>
                        <element>BUNDLE</element>
                        <limits>
                            <limit>
                                <counter>COMPLEXITY</counter>
                                <value>COVEREDRATIO</value>
                                <minimum>0.40</minimum>
                            </limit>
                        </limits>
                    </rule>
                </rules>
            </configuration>
        </execution>
    </executions>
</plugin>

# hadolint ignore=DL3013, DL3018
RUN apk --no-cache add python3 \
                       python3-dev \
                       py3-pip \
                       build-base gcc \
                       libxml2-dev \
                       libxslt-dev \
  && pip3 install --no-cache-dir --upgrade pip wheel \
  && pip3 install --no-cache-dir lxml \
  && curl -s -L -o /opt/cover2cover.py      https://gitlab.com/haynes/jacoco2cobertura/-/raw/main/cover2cover.py \
  && curl -s -L -o /opt/source2filename.py  https://gitlab.com/haynes/jacoco2cobertura/-/raw/main/source2filename.py \
  && echo "​ Python scripts for code coverage installed."

Буду очень рад, если кто-то знающий подскажет, как в этом случае после сборки я могу "подтереть лишнее".

# Джоба, которой собираем образ приложения из исходников.
my-app:
  image: $TOOLING_IMAGE
  variables:
    # Необходимо для кеширования зависимостей между запусками.
    MAVEN_OPTS: "-Dmaven.repo.local=${CI_PROJECT_DIR}/.m2/repository"
    MAVEN_CLI_OPTS: "--batch-mode"
    # GRADLE_USER_HOME: "$CI_PROJECT_DIR/.gradle"
    # Для удобства вызова команд преобразования формата Code Coverage.
    JACOCO_REPORT: target/site/jacoco/jacoco.xml
    COBERTURA_XML: target/site/cobertura.xml
  script:
    # Компиляция проекта, прогон тестов и получение итогового .jar.
    - mvn $MAVEN_CLI_OPTS verify
    # Переносим готовый файл в каталог выше, а target добавлен в .dockerignore. 
    - mv -f target/*.jar application.jar
    # Валидируем Dockerfile, собираем приложение в образ и пушим его куда нужно.
    - docker run   --rm -i hadolint/hadolint < Dockerfile
    - docker build --tag my-app .
    - docker push my-app
  after_script:
    # Этот комментарий остался тут из документации GitLab CI.
    # Report is generated by jacoco-maven-plugin in your pom.xml.
    # These lines convert it to cobertura format.
    - python3 /opt/cover2cover.py ${JACOCO_REPORT} src/main/java > ${COBERTURA_XML}
    - python3 /opt/source2filename.py ${COBERTURA_XML}
  cache:
    key: m2-cache
    paths:
      - .m2/repository
      # - .gradle/caches/
      # - .gradle/wrapper/
      # - .gradle/build-cache/
  artifacts:
    reports:
      # Сохраняем отчёт JUnit по пройденным юнит-тестам.
      junit:
        - '*/target/surefire-reports/TEST-*.xml'
        - '*/target/failsafe-reports/TEST-*.xml'
      # Сохраняем отчёт JaCoCO о покрытии кода.
      cobertura:
        - '*/target/site/cobertura.xml'

# Временный образ для распаковки .jar приложения.
FROM bellsoft/liberica-openjdk-alpine-musl:16 AS builder

# Распаковываем .jar-файл.
WORKDIR                             /extracted
COPY application.jar                /extracted/application.jar
RUN  java -Djarmode=layertools -jar /extracted/application.jar extract

# Начинаем ещё раз с чистого листа. Как вариант, тут можно заменить openjdk
# на openjre для уменьшения итогового образа, но я решил шарить одинаковые слои.
FROM bellsoft/liberica-openjdk-alpine-musl:16

# Приложение будет работать во временной зоне Europe/Moscow.
ENV TZ="Europe/Moscow"

# Установка обновлений пакетов и дополнительных инструментов.
# hadolint ignore=DL3017, DL3018
RUN  echo "http://dl-3.alpinelinux.org/alpine/latest-stable/main"      >  /etc/apk/repositories \
  && echo "http://dl-3.alpinelinux.org/alpine/latest-stable/community" >> /etc/apk/repositories \
  && apk update \
  && apk upgrade --available \
  && rm -rf /var/cache/apk/* \
  && apk --no-cache add jq \
                        zip \
                        curl \
                        htop \
                        tzdata \
                        busybox-extras \
  # Создаём пользователя для запуска контейнера не под root-ом.
  && mkdir -p         /my-demo-app \
  && chmod 666        /my-demo-app \
  && adduser -S -D -h /my-demo-app -u 3456 my-demo-app

# Приложение будет запускаться от имени созданного выше пользователя.
# Это требование системных администраторов, отвечающих за Kubernetes.
USER my-demo-app

WORKDIR                                                /my-demo-app
COPY --from=builder /extracted/dependencies/           /my-demo-app/
COPY --from=builder /extracted/snapshot-dependencies/  /my-demo-app/
COPY --from=builder /extracted/spring-boot-loader/     /my-demo-app/
COPY --from=builder /extracted/application/            /my-demo-app/

# REST API.
EXPOSE 8090
# Actuator.
EXPOSE 8081

ENTRYPOINT ["java", \
            # Настройки JVM.
            "-XX:MaxDirectMemorySize=50M", \
            "-XX:MaxMetaspaceSize=200M", \
            "-XX:ReservedCodeCacheSize=120M", \
            "-Xss512K", \
            "-Xms480M", "-Xmx480M", \
            # Look at my horse, my horse is amazing!
            "-XX:+UseShenandoahGC", \
            # Информативные NPE.
            "-XX:+ShowCodeDetailsInExceptionMessages", \
            # Разрешаем использовать Preview-фичи.
            "-XX:+UnlockExperimentalVMOptions", \
            "--enable-preview", \
            # Запуск распакованного Fat Jar.
            "org.springframework.boot.loader.JarLauncher" \
]
CMD []