Contents
Docker Composeを本番環境で安全に運用するための基礎知識
Docker Composeは開発環境での利用が一般的ですが、本番環境でも安定して運用可能です。ただし、セキュリティやパフォーマンスを考慮した設定が必要です。特に中小企業のIT担当者は、環境ごとの差分管理とセキュリティ対策を意識することで、信頼性の高い運用が可能になります。
本番環境でのDocker Compose利用のメリットと注意点
Docker Composeは複数コンテナの起動・管理を簡潔に定義できるため、本番環境でも導入が容易ですが、以下のリスクがあります。
- セキュリティリスク: 開発環境で使用するシークレット（パスワードなど）をそのままで運用すると情報漏洩の可能性がある
- パフォーマンス問題: 開発用に設定されたリソース制限やログ出力が本番では不適切な場合がある
これらを避けるためには、環境ごとの差分管理とセキュリティ対策が不可欠です。
環境別設定の差分管理と最適化戦略
開発・本番環境におけるdocker-compose.ymlの設定差分
セットアップ環境別の比較表
| 項目 | 開発環境 | 本番環境 |
|---|---|---|
| ログ出力レベル | 詳細なデバッグ情報（debug） |
基本情報のみ（info） |
| ネットワーク設定 | bridgeネットワークで簡易構成 |
セキュリティを重視した分離ネットワーク |
| パスワード管理 | 環境変数に記載 | 外部シークレットマネージャー利用 |
このように、環境ごとに設定を柔軟に調整する意識を持つことが本番運用の基本です。
.envファイルによる環境変数管理
本番環境では、敏感な情報をdocker-compose.ymlに直接記載しないことが原則です。代わりに.envファイルを使って、環境ごとに切り替える方法が推奨されます。
-
開発環境の.env例:
env
DB_PASSWORD=dev_password
API_KEY=test_key123 -
本番環境の.env例:
env
DB_PASSWORD=prod_securepass
API_KEY=real_api_key_456
docker-compose.ymlでは.envファイルを読み込むように設定します（下記コード参照）。
|
1 2 3 4 5 |
services: db: environment: - POSTGRES_PASSWORD=${DB_PASSWORD} |
この方法で、リポジトリ内にシークレット情報を含まずに運用できます。
セキュリティ強化策とシークレット管理
Docker Secretsの活用方法
Docker Secretsは、コンテナ間で安全にシークレット情報を共有するための機能です。以下のようにdocker-compose.ymlに.secretsを定義することで、パスワードやAPIキーなどを暗号化して管理できます。
|
1 2 3 4 5 6 7 8 9 |
services: db: secrets: - db_password secrets: db_password: external: true |
この際、シークレットはdocker secret createコマンドで事前に作成し、外部のシークレットマネージャー（例：HashiCorp Vault）と連携することで、よりセキュアな運用が可能です。
XサーバーVPSへのDocker Composeデプロイ手順
SSH経由での初期設定準備
XサーバーVPSにログインし、以下のコマンドで初期化を行います。
- SSH接続:
ssh username@vps_ip - root権限取得（必要なら）:
sudo su - Dockerのインストール:
bash
curl -fsSL https://get.docker.com | sh
systemctl enable docker
systemctl start docker
ホストOSのDocker環境構築
VPSにdocker-composeをインストールし、環境変数ファイルを配置します。
-
docker-composeインストール:
bash
curl -L "https://github.com/docker/compose/releases/download/v2.25.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
chmod +x /usr/local/bin/docker-compose注意:
v2.25.0は記事作成時のバージョンです。最新バージョン確認が必要です。 -
.envファイルの配置（本番環境用）:
bash
nano .env
自動再起動設定とfirewalld対策
サービス起動後は、自動リスタートやファイアウォール設定を行います。
-
docker-compose.ymlに再起動オプション追加:
yaml
services:
webapp:
restart: unless-stopped -
firewalldでポートを開く（CentOS系なら）:
bash
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --reload
この手順で、XサーバーVPSへのデプロイを安全かつ安定して実行できます。
ヘルスチェックとログ管理のベストプラクティス
サービス起動時の健康状態監視設定
サービスが正常に動作しているかを定期的に確認するには、healthcheckキーワードを使います。以下はPythonアプリケーション向けの例です。
|
1 2 3 4 5 6 7 8 |
services: webapp: healthcheck: test: curl -f http://localhost:8000/health || exit 1 interval: 30s timeout: 10s retries: 5 |
この設定で、サービス起動後30秒ごとにHTTPリクエストを送って健康状態を確認します。
ELKスタックによる集中ログ管理
本番環境では、すべてのログを集約して管理することが重要です。ELK（Elasticsearch, Logstash, Kibana）スタックは代表的な選択肢です。
- Logstashでログを処理（例: docker-compose.ymlにLogstashサービス追加）
- Elasticsearchに集約
- Kibanaで可視化
|
1 2 3 4 5 6 |
services: logstash: image: docker.elastic.co/logstash/logstash:8.10.0 ports: - "5044:5044" |
このように設定することで、複数のサービスからのログを一括管理し、異常検知が容易になります。
スケーリング戦略とバックアップ自動化
CPU/Memory制限によるリソース管理
本番環境ではリソース競合を防ぐため、CPUやメモリの上限を明記します。以下はdocker-compose.ymlの例です。
|
1 2 3 4 5 6 7 8 |
services: webapp: deploy: resources: limits: memory: 1GB cpus: "1" |
この設定により、サービスが予期せぬリソース消費を起こさないよう制限がかかります。
定期的なデータボリュームバックアップ
Docker Volumeのデータは定期的にバックアップします。以下のようにdocker-compose.ymlにバックアップスクリプトを組み込みましょう。
|
1 2 3 4 5 6 7 8 |
services: backup: image: alpine command: > sh -c "exec bash /backup_script.sh" volumes: - ./backup:/backup |
このように、ボリュームのデータを定期的に外部に保存して、災害復旧対策を強化します。
まとめ
- docker-compose.ymlの環境差分管理で本番環境を安定運用
- Docker Secretsとネットワークポリシーでセキュリティリスクを軽減
- XサーバーVPSへのデプロイ手順をステップバイステップで実施
- ヘルスチェックとELKスタックで監視・管理体制を構築
- スケーリングとバックアップ自動化で可用性を向上
本記事では、Docker Composeを中小企業のIT担当者が実務で導入できるよう、具体的な設定手順と注意点を解説しました。環境ごとの差分管理とセキュリティ対策に注力することで、安心して本番運用が可能です。