PythonマイクロサービスのDockerデプロイとCI/CDベストプラクティス

2026年4月27日

お得なお知らせ

スポンサードリンク

AI時代のキャリア構築

プログラミング学習、今日から動き出す

「何から始めるか」で止まっている人こそ、無料説明会や本で自分に合うルートを30分で確定できます。

Enjoy Tech!｜月額制でWeb系に強い▶ (Kindle本)ＩＴエンジニアの転職学｜後悔しないキャリア戦略▶

▶ AIコーディング環境なら実践Claude Code入門（Amazon）が実務で即使える入門書です。Amazonベストセラーにも選ばれていますよ。

Contents

1 1. プロジェクト構成と依存管理
2 2. Dockerfile の安全・軽量設計
- 2.1 📌 ポイント
- 2.2 改訂版 Dockerfile
  - 2.2.1 主な改善点
3 3. ローカル開発環境（Compose ＆ DevContainer）
4 4. CI/CD パイプライン（GitHub Actions）
5 5. バージョン管理と自動更新の仕組み
- 5.1 📌 なぜ「バージョンを固定」しつつ「定期的に最新へ」？
- 5.2 実装例
6 6. 主要クラウドへのデプロイ比較
- 6.1 デプロイ手順の共通パターン
7 7. 運用・監視・セキュリティの基本設定
8 8. まとめ

スポンサードリンク

1. プロジェクト構成と依存管理

📌 ポイント

明確なディレクトリ構造＋Poetry による単一ソース（pyproject.toml）の依存管理で、保守性・テスト容易性を最大化する。

📂 推奨ディレクトリレイアウト

myservice/
├─ src/                     # アプリケーションコード
│   └─ myservice/
│       ├─ __init__.py
│       ├─ main.py         # FastAPI エントリポイント
│       └─ api/
│           ├─ __init__.py
│           └─ v1.py
├─ tests/                   # ユニットテスト
│   └─ test_main.py
├─ pyproject.toml           # Poetry 設定ファイル（依存・ビルド情報）
├─ poetry.lock              # 正確なバージョンロック
└─ .dockerignore            # Docker ビルド除外リスト

myservice/

├─ src/ # アプリケーションコード

│ └─ myservice/

│ ├─ __init__.py

│ ├─ main.py # FastAPI エントリポイント

│ └─ api/

│ ├─ __init__.py

│ └─ v1.py

├─ tests/ # ユニットテスト

│ └─ test_main.py

├─ pyproject.toml # Poetry 設定ファイル（依存・ビルド情報）

├─ poetry.lock # 正確なバージョンロック

└─ .dockerignore # Docker ビルド除外リスト

`pyproject.toml` の抜粋（バージョンは変数で管理）

[tool.poetry]
name = &quot;myservice&quot;
version = &quot;0.1.0&quot;
description = &quot;Python microservice example&quot;
authors = [&quot;Your Name &lt;you@example.com&gt;&quot;]
packages = [{include = &quot;myservice&quot;, from = &quot;src&quot;}]

[tool.poetry.dependencies]
python = &quot;^3.11&quot;
fastapi = &quot;^{{ fastapi_version }}&quot;      # ← CI で自動更新
uvicorn = {extras = [&quot;standard&quot;], version = &quot;^{{ uvicorn_version }}&quot;}
# 必要に応じて追加パッケージをここへ

[tool.poetry.dev-dependencies]
pytest = &quot;^{{ pytest_version }}&quot;

[tool.poetry]

name = "myservice"

version = "0.1.0"

description = "Python microservice example"

authors = ["Your Name <you@example.com>"]

packages = [{include = "myservice", from = "src"}]

[tool.poetry.dependencies]

python = "^3.11"

fastapi = "^{{ fastapi_version }}" # ← CI で自動更新

uvicorn = {extras = ["standard"], version = "^{{ uvicorn_version }}"}

# 必要に応じて追加パッケージをここへ

[tool.poetry.dev-dependencies]

pytest = "^{{ pytest_version }}"

※ バージョンは {{ xxx_version }} のようにテンプレート化し、
Dependabot や Renovate と連携させることで定期的に最新安定版へ自動更新できます（後述）。

Poetry での操作例

# 依存関係をロックファイルに書き込みつつインストール
poetry install

# 仮想環境をアクティベートしてテスト実行
poetry run pytest

# 依存関係をロックファイルに書き込みつつインストール

poetry install

# 仮想環境をアクティベートしてテスト実行

poetry run pytest

2. Dockerfile の安全・軽量設計

📌 ポイント

BuildKit + マルチステージビルドで、ビルド時のツールやキャッシュを本番イメージに持ち込まない。
site‑packages ディレクトリ全体をコピーせず、requirements.txt から再インストールすることで不要ファイルを除外。

改訂版 Dockerfile

# syntax = docker/dockerfile:1.4
############################
# ① ビルドステージ (builder)
############################
FROM python:3.11-slim AS builder
ARG POETRY_VERSION=1.8.2            # 必要に応じて変数化

# Poetry のインストール（キャッシュマウントで高速化）
RUN --mount=type=cache,target=/root/.cache \
    pip install --no-cache-dir &quot;poetry==$POETRY_VERSION&quot;

WORKDIR /app
COPY pyproject.toml poetry.lock ./

# 依存関係を requirements.txt に変換（ハッシュ除去で再現性確保）
RUN --mount=type=cache,target=/root/.cache \
    poetry export -f requirements.txt --without-hashes -o requirements.txt

############################
# ② ランタイムステージ (runtime)
############################
FROM python:3.11-slim AS runtime
ARG USER_ID=10001
ENV PYTHONUNBUFFERED=1

# 非 root ユーザー作成
RUN addgroup --system app &amp;&amp; \
    adduser --system --uid $USER_ID --ingroup app appuser

WORKDIR /app

# ビルドステージで生成した requirements.txt をコピーし、再インストールだけ実行
COPY --from=builder /app/requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# アプリコードのみをコピー
COPY src/ ./src/

USER appuser
EXPOSE 8080
CMD [&quot;uvicorn&quot;, &quot;myservice.main:app&quot;, &quot;--host&quot;, &quot;0.0.0.0&quot;, &quot;--port&quot;, &quot;8080&quot;]

# syntax = docker/dockerfile:1.4

############################

# ① ビルドステージ (builder)

############################

FROM python:3.11-slim AS builder

ARG POETRY_VERSION=1.8.2 # 必要に応じて変数化

# Poetry のインストール（キャッシュマウントで高速化）

RUN --mount=type=cache,target=/root/.cache \

pip install --no-cache-dir "poetry==$POETRY_VERSION"

WORKDIR /app

COPY pyproject.toml poetry.lock ./

# 依存関係を requirements.txt に変換（ハッシュ除去で再現性確保）

RUN --mount=type=cache,target=/root/.cache \

poetry export -f requirements.txt --without-hashes -o requirements.txt

############################

# ② ランタイムステージ (runtime)

############################

FROM python:3.11-slim AS runtime

ARG USER_ID=10001

ENV PYTHONUNBUFFERED=1

# 非 root ユーザー作成

RUN addgroup --system app && \

adduser --system --uid $USER_ID --ingroup app appuser

WORKDIR /app

# ビルドステージで生成した requirements.txt をコピーし、再インストールだけ実行

COPY --from=builder /app/requirements.txt .

RUN pip install --no-cache-dir -r requirements.txt

# アプリコードのみをコピー

COPY src/ ./src/

USER appuser

EXPOSE 8080

CMD ["uvicorn", "myservice.main:app", "--host", "0.0.0.0", "--port", "8080"]

主な改善点

項目	従来の実装	改訂版
site‑packages のコピー	`COPY --from=builder /usr/local/lib/python3.11/site-packages/ …`	依存リスト (`requirements.txt`) を再インストールし、ビルドキャッシュは残さない
不要ファイル	ビルダーのキャッシュが混入する可能性あり	`--no-cache-dir` とマウントキャッシュでビルド時のみ保持
ユーザー権限	`USER appuser` はそのままだが、作成手順が明示的に分離	同上だがコメントで意図を明記

3. ローカル開発環境（Compose ＆ DevContainer）

📌 ポイント

Docker Compose v2 によるネットワーク・ヘルスチェックの自動管理。
VS Code の DevContainer でローカルと CI が同一イメージを使用でき、開発者ごとの環境差異が解消。

`docker-compose.yml`

version: &quot;3.9&quot;

services:
  api:
    build:
      context: .
      target: runtime               # Compose でもマルチステージ活用
    ports:
      - &quot;8080:8080&quot;
    env_file:
      - .env.api
    depends_on:
      db:
        condition: service_healthy
    healthcheck:
      test: [&quot;CMD&quot;, &quot;curl&quot;, &quot;-f&quot;, &quot;http://localhost:8080/health&quot;]
      interval: 30s
      timeout: 5s
      retries: 3

  db:
    image: postgres:15-alpine
    environment:
      POSTGRES_USER: myuser
      POSTGRES_DB: mydb
    volumes:
      - pg_data:/var/lib/postgresql/data
    healthcheck:
      test: [&quot;CMD-SHELL&quot;, &quot;pg_isready -U $$POSTGRES_USER&quot;]
      interval: 15s
      timeout: 5s
      retries: 5

volumes:
  pg_data:

version: "3.9"

services:

api:

build:

context: .

target: runtime # Compose でもマルチステージ活用

ports:

- "8080:8080"

env_file:

- .env.api

depends_on:

db:

condition: service_healthy

healthcheck:

test: ["CMD", "curl", "-f", "http://localhost:8080/health"]

interval: 30s

timeout: 5s

retries: 3

db:

image: postgres:15-alpine

environment:

POSTGRES_USER: myuser

POSTGRES_DB: mydb

volumes:

- pg_data:/var/lib/postgresql/data

healthcheck:

test: ["CMD-SHELL", "pg_isready -U $$POSTGRES_USER"]

interval: 15s

timeout: 5s

retries: 5

volumes:

pg_data:

DevContainer 設定 (`.devcontainer/devcontainer.json`)

{
  &quot;name&quot;: &quot;Python Microservice (DevContainer)&quot;,
  &quot;dockerComposeFile&quot;: [&quot;../docker-compose.yml&quot;],
  &quot;service&quot;: &quot;api&quot;,
  &quot;workspaceFolder&quot;: &quot;/workspaces/myservice&quot;,
  &quot;remoteUser&quot;: &quot;appuser&quot;,
  &quot;features&quot;: {
    &quot;ghcr.io/devcontainers/features/python:1&quot;: {
      &quot;version&quot;: &quot;3.11&quot;
    }
  },
  &quot;postCreateCommand&quot;: &quot;poetry install&quot;
}

{

"name": "Python Microservice (DevContainer)",

"dockerComposeFile": ["../docker-compose.yml"],

"service": "api",

"workspaceFolder": "/workspaces/myservice",

"remoteUser": "appuser",

"features": {

"ghcr.io/devcontainers/features/python:1": {

"version": "3.11"

}

"postCreateCommand": "poetry install"

}

Tip
docker-compose.yml と同じ Dockerfile（マルチステージ）を利用しているため、ローカルでも CI と同様のイメージが生成されます。

4. CI/CD パイプライン（GitHub Actions）

📌 ポイント

BuildKit、Trivy による脆弱性診断、テスト実行、GHCR へのプッシュを一連のジョブで完結。
バージョン固定・再現性確保のため、外部 Action はタグまたは SHA‑1 でロック。

`dependabot.yml`（自動バージョン更新）

version: 2
updates:
  - package-ecosystem: &quot;pip&quot;
    directory: &quot;/&quot;
    schedule:
      interval: &quot;weekly&quot;
    open-pull-requests-limit: 10

  - package-ecosystem: &quot;github-actions&quot;
    directory: &quot;/&quot;
    schedule:
      interval: &quot;weekly&quot;

  - package-ecosystem: &quot;docker&quot;
    directory: &quot;/&quot;
    schedule:
      interval: &quot;weekly&quot;

version: 2

updates:

- package-ecosystem: "pip"

directory: "/"

schedule:

interval: "weekly"

open-pull-requests-limit: 10

- package-ecosystem: "github-actions"

directory: "/"

schedule:

interval: "weekly"

- package-ecosystem: "docker"

directory: "/"

schedule:

interval: "weekly"

`.github/workflows/ci-cd.yml`

name: CI / CD

on:
  push:
    branches: [ main ]
  pull_request:

permissions:
  contents: read
  packages: write
  id-token: write   # OIDC for cloud providers

jobs:
  build-test:
    runs-on: ubuntu-latest
    env:
      DOCKER_BUILDKIT: 1
    steps:
      - name: Checkout repository
        uses: actions/checkout@v4

      - name: Set up QEMU (multi‑arch)
        uses: docker/setup-qemu-action@v3

      # ---------- Docker Hub / GHCR ログイン ----------
      - name: Login to GitHub Container Registry
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}

      # ---------- ビルド（キャッシュ活用） ----------
      - name: Build Docker image (runtime target)
        run: |
          docker build \
            --target runtime \
            -t ghcr.io/${{ github.repository }}:${{ github.sha }} \
            .

      # ---------- コンテナ内でユニットテスト ----------
      - name: Run tests in container
        run: |
          docker run --rm ghcr.io/${{ github.repository }}:${{ github.sha }} pytest

      # ---------- Trivy スキャン（安定タグでロック） ----------
      - name: Scan image with Trivy
        uses: aquasecurity/trivy-action@v0.12.0   # ← 固定バージョン
        with:
          image-ref: ghcr.io/${{ github.repository }}:${{ github.sha }}
          format: table
          exit-code: &quot;1&quot;                # 高／クリティカルで失敗させる
          severity: &quot;HIGH,CRITICAL&quot;
          ignore-unfixed: true

      # ---------- イメージを GHCR にプッシュ ----------
      - name: Push image to GHCR
        run: |
          docker push ghcr.io/${{ github.repository }}:${{ github.sha }}

  deploy:
    needs: build-test
    runs-on: ubuntu-latest
    if: github.ref == 'refs/heads/main'
    steps:
      - name: Checkout repository (for deployment scripts)
        uses: actions/checkout@v4

      # ---------- AWS ECS/Fargate ----------
      - name: Deploy to AWS ECS/Fargate
        uses: aws-actions/amazon-ecs-deploy-task-definition@v2
        with:
          task-definition: ecs/task-def.json
          service: myservice
          cluster: prod-cluster
          image: ghcr.io/${{ github.repository }}:${{ github.sha }}
          wait-for-service-stability: true

      # ---------- Azure Container Apps ----------
      - name: Deploy to Azure Container Apps
        uses: azure/container-apps-deploy@v1   # 正式アクション名
        with:
          resource-group: rg-prod
          containerapp-name: myservice
          image: ghcr.io/${{ github.repository }}:${{ github.sha }}
          ingress: external
          target-port: 8080

      # ---------- GCP Cloud Run ----------
      - name: Deploy to Cloud Run
        uses: google-github-actions/deploy-cloudrun@v0
        with:
          service: myservice
          image: ghcr.io/${{ github.repository }}:${{ github.sha }}
          region: asia-northeast1

name: CI / CD

on:

push:

branches: [ main ]

pull_request:

permissions:

contents: read

packages: write

id-token: write # OIDC for cloud providers

jobs:

build-test:

runs-on: ubuntu-latest

env:

DOCKER_BUILDKIT: 1

steps:

- name: Checkout repository

uses: actions/checkout@v4

- name: Set up QEMU (multi‑arch)

uses: docker/setup-qemu-action@v3

# ---------- Docker Hub / GHCR ログイン ----------

- name: Login to GitHub Container Registry

uses: docker/login-action@v3

with:

registry: ghcr.io

username: ${{ github.actor }}

password: ${{ secrets.GITHUB_TOKEN }}

# ---------- ビルド（キャッシュ活用） ----------

- name: Build Docker image (runtime target)

run: |

docker build \

--target runtime \

-t ghcr.io/${{ github.repository }}:${{ github.sha }} \

# ---------- コンテナ内でユニットテスト ----------

- name: Run tests in container

run: |

docker run --rm ghcr.io/${{ github.repository }}:${{ github.sha }} pytest

# ---------- Trivy スキャン（安定タグでロック） ----------

- name: Scan image with Trivy

uses: aquasecurity/trivy-action@v0.12.0 # ← 固定バージョン

with:

image-ref: ghcr.io/${{ github.repository }}:${{ github.sha }}

format: table

exit-code: "1" # 高／クリティカルで失敗させる

severity: "HIGH,CRITICAL"

ignore-unfixed: true

# ---------- イメージを GHCR にプッシュ ----------

- name: Push image to GHCR

run: |

docker push ghcr.io/${{ github.repository }}:${{ github.sha }}

deploy:

needs: build-test

runs-on: ubuntu-latest

if: github.ref == 'refs/heads/main'

steps:

- name: Checkout repository (for deployment scripts)

uses: actions/checkout@v4

# ---------- AWS ECS/Fargate ----------

- name: Deploy to AWS ECS/Fargate

uses: aws-actions/amazon-ecs-deploy-task-definition@v2

with:

task-definition: ecs/task-def.json

service: myservice

cluster: prod-cluster

image: ghcr.io/${{ github.repository }}:${{ github.sha }}

wait-for-service-stability: true

# ---------- Azure Container Apps ----------

- name: Deploy to Azure Container Apps

uses: azure/container-apps-deploy@v1 # 正式アクション名

with:

resource-group: rg-prod

containerapp-name: myservice

image: ghcr.io/${{ github.repository }}:${{ github.sha }}

ingress: external

target-port: 8080

# ---------- GCP Cloud Run ----------

- name: Deploy to Cloud Run

uses: google-github-actions/deploy-cloudrun@v0

with:

service: myservice

image: ghcr.io/${{ github.repository }}:${{ github.sha }}

region: asia-northeast1

主な改善点

項目	従来の記述	改訂版
Trivy Action	`aquasecurity/trivy-action@master`（ブランチ指定）	`aquasecurity/trivy-action@v0.12.0`（安定タグ）
Azure デプロイ	`azure/aci-deploy@v1`（旧名称・誤記）	`azure/container-apps-deploy@v1`（正式）
バージョン固定	FastAPI・Uvicorn のハードコード	`{{ fastapi_version }}` 等テンプレート化し Dependabot が自動更新
再現性	依存はロックされているが Action バージョン未固定	全 Action にタグ／SHA を明示

5. バージョン管理と自動更新の仕組み

📌 なぜ「バージョンを固定」しつつ「定期的に最新へ」？

再現性：CI が同一コード・依存で常に同じイメージを生成できる。
セキュリティ：脆弱性が修正された新バージョンは速やかに取り込める。

実装例

Poetry のバージョン変数化
pyproject.toml 内の依存は {{ fastapi_version }} などプレースホルダーで記述。
GitHub Actions のテンプレート置換
yaml

name: Render version placeholders id: render run: | FASTAPI=$(curl -s https://pypi.org/pypi/fastapi/json | jq -r '.info.version') UVICORN=$(curl -s https://pypi.org/pypi/uvicorn/json | jq -r '.info.version') echo "fastapi_version=$FASTAPI" >> $GITHUB_OUTPUT echo "uvicorn_version=$UVICORN" >> $GITHUB_OUTPUT その後envに注入し、sed等でpyproject.toml を書き換えてビルド。
Dependabot の活用
上記 dependabot.yml が自動的に PR を作成。
CI がマージ前にテスト・スキャンを走らせ、問題なければ自動マージ（auto-merge: true）も設定可能。
GitHub Actions のバージョンロック
yaml uses: docker/setup-qemu-action@v3 # タグで固定 uses: aquasecurity/trivy-action@v0.12.0 # タグまたは SHA-1

6. 主要クラウドへのデプロイ比較

項目	AWS ECS/Fargate	Azure Container Apps	GCP Cloud Run
CLI / Action	`aws-actions/amazon-ecs-deploy-task-definition@v2`	`azure/container-apps-deploy@v1`（正式）	`google-github-actions/deploy-cloudrun@v0`
デプロイ単位	タスク定義 + サービス	コンテナアプリ＋環境	Service (Revision)
シークレット管理	AWS Secrets Manager / Parameter Store → ECS task definition	Azure Key Vault → env vars（container‑app）	Secret Manager → env vars
料金モデル	vCPU・メモリ使用量に従量課金	実行時間とリソース予約で従量課金	リクエスト数＋実行時間で従量課金
主な設定ファイル例	`ecs/task-def.json`（JSON）	`az containerapp env create …`（CLI）	`gcloud run deploy …`（CLI）

デプロイ手順の共通パターン

コンテナレジストリにプッシュ → GHCR / ECR / ACR など
GitHub Actions のステップで対象クラウド用 CLI/Action を呼び出す
環境変数・シークレットは各クラウドのマネージドサービスから注入

ポイント：同一ワークフロー内に if: contains(matrix.cloud, 'aws') 等で分岐させれば、1 つの YAML ですべてのプロバイダーへデプロイ可能。

7. 運用・監視・セキュリティの基本設定

📌 ロギングとメトリクス（OpenTelemetry + Prometheus）

`docker-compose.yml` に追加

  otel-collector:
    image: otel/opentelemetry-collector-contrib:0.93.0
    command: [&quot;--config&quot;, &quot;/etc/otel-config.yaml&quot;]
    volumes:
      - ./otel/otel-config.yaml:/etc/otel-config.yaml

  prometheus:
    image: prom/prometheus:v2.50.1
    ports:
      - &quot;9090:9090&quot;
    volumes:
      - ./prometheus/prometheus.yml:/etc/prometheus/prometheus.yml

otel-collector:

image: otel/opentelemetry-collector-contrib:0.93.0

command: ["--config", "/etc/otel-config.yaml"]

volumes:

- ./otel/otel-config.yaml:/etc/otel-config.yaml

prometheus:

image: prom/prometheus:v2.50.1

ports:

- "9090:9090"

volumes:

- ./prometheus/prometheus.yml:/etc/prometheus/prometheus.yml

`otel/otel-config.yaml`（抜粋）

receivers:
  otlp:
    protocols:
      grpc:

exporters:
  prometheus:
    endpoint: &quot;0.0.0.0:9464&quot;

service:
  pipelines:
    metrics:
      receivers: [otlp]
      exporters: [prometheus]

receivers:

otlp:

protocols:

grpc:

exporters:

prometheus:

endpoint: "0.0.0.0:9464"

service:

pipelines:

metrics:

receivers: [otlp]

exporters: [prometheus]

アプリ側依存とコード例

poetry add opentelemetry-sdk opentelemetry-exporter-otlp

1 2	poetry add opentelemetry-sdk opentelemetry-exporter-otlp

src/myservice/metrics.py

from opentelemetry import metrics
from opentelemetry.exporter.otlp.proto.grpc.metrics_exporter import OTLPMetricExporter
from opentelemetry.sdk.metrics import MeterProvider
from opentelemetry.sdk.metrics.export import PeriodicExportingMetricReader

exporter = OTLPMetricExporter(endpoint=&quot;http://otel-collector:4317&quot;)
reader   = PeriodicExportingMetricReader(exporter, export_interval_millis=5_000)
provider = MeterProvider(metric_readers=[reader])
metrics.set_meter_provider(provider)

meter = metrics.get_meter(__name__)
request_counter = meter.create_counter(
    &quot;api_requests_total&quot;,
    description=&quot;Total number of API requests&quot;
)

def record_request(endpoint: str):
    request_counter.add(1, {&quot;endpoint&quot;: endpoint})

from opentelemetry import metrics

from opentelemetry.exporter.otlp.proto.grpc.metrics_exporter import OTLPMetricExporter

from opentelemetry.sdk.metrics import MeterProvider

from opentelemetry.sdk.metrics.export import PeriodicExportingMetricReader

exporter = OTLPMetricExporter(endpoint="http://otel-collector:4317")

reader = PeriodicExportingMetricReader(exporter, export_interval_millis=5_000)

provider = MeterProvider(metric_readers=[reader])

metrics.set_meter_provider(provider)

meter = metrics.get_meter(__name__)

request_counter = meter.create_counter(

"api_requests_total",

description="Total number of API requests"

)

def record_request(endpoint: str):

request_counter.add(1, {"endpoint": endpoint})

📌 非 root 実行とイメージスキャン

Dockerfile で USER appuser を必ず設定（上記参照）。
CI の Trivy スキャンは「高・クリティカル」だけ CI を失敗させ、低リスクは issue として残す。

- name: Scan image with Trivy (high/critical only)
  uses: aquasecurity/trivy-action@v0.12.0
  with:
    image-ref: ghcr.io/${{ github.repository }}:${{ github.sha }}
    severity: &quot;HIGH,CRITICAL&quot;
    ignore-unfixed: true

- name: Scan image with Trivy (high/critical only)

uses: aquasecurity/trivy-action@v0.12.0

with:

image-ref: ghcr.io/${{ github.repository }}:${{ github.sha }}

severity: "HIGH,CRITICAL"

ignore-unfixed: true

📌 定期的な脆弱性データベース更新

Trivy はデフォルトで毎日 DB を取得しますが、自前のキャッシュレイヤーを作ることでビルド時間短縮も可能です。
CI の最初に以下を実行すると、GitHub Actions のキャッシュ機能と組み合わせられます。

- name: Cache Trivy DB
  uses: actions/cache@v4
  with:
    path: ~/.cache/trivy
    key: trivy-db-${{ runner.os }}-${{ hashFiles('**/Dockerfile') }}
    restore-keys: |
      trivy-db-

- name: Cache Trivy DB

uses: actions/cache@v4

with:

path: ~/.cache/trivy

key: trivy-db-${{ runner.os }}-${{ hashFiles('**/Dockerfile') }}

restore-keys: |

trivy-db-

8. まとめ

項目	ベストプラクティス
プロジェクト構造	`src/` 配下にコード、Poetry が唯一の依存管理ツール
Dockerfile	BuildKit + マルチステージ → ビルドキャッシュはランタイムに持ち込まない。非 root ユーザーで実行
ローカル開発	Compose v2 + DevContainer で本番と同一イメージを使用し、ヘルスチェック・ネットワーク自動管理
CI/CD	GitHub Actions にてビルド・テスト・Trivy スキャン・GHCR プッシュ＋各クラウドへデプロイ。Action はすべてタグ固定で再現性確保
バージョン更新	Dependabot + `{{ xxx_version }}` テンプレート → 定期的に PR が作成され、マージすると自動で最新ライブラリになる
クラウドデプロイ比較	AWS/ECS‑Fargate・Azure Container Apps・GCP Cloud Run を同一ワークフローで切り替え可能
観測性 & セキュリティ	OpenTelemetry → Prometheus、非 root コンテナ、Trivy 高リスクスキャン、GitHub Secrets／クラウド KMS でシークレット管理

このガイドラインを自プロジェクトに取り込むことで、「コードの書きやすさ」⇔「本番運用の堅牢性」 の両輪が揃い、開発スピードと安全性を同時に向上できます。

次のステップ
1. 本リポジトリで dependabot.yml を有効化 → 依存自動更新を開始。
2. Dockerfile と CI のバージョン固定が完了したら、GitHub Actions のワークフロー実行で一度ビルド・テスト・スキャンを走らせる。
3. 任意のクラウド（AWS / Azure / GCP）へデプロイし、OpenTelemetry ダッシュボードでメトリクスが可視化されていることを確認。

以上、2026 年時点の 最新・安全・再現性 を担保した Python マイクロサービス構築手順でした。 🚀

スポンサードリンク

お得なお知らせ

スポンサードリンク

AI時代のキャリア構築

プログラミング学習、今日から動き出す

「何から始めるか」で止まっている人こそ、無料説明会や本で自分に合うルートを30分で確定できます。

Enjoy Tech!｜月額制でWeb系に強い▶ (Kindle本)ＩＴエンジニアの転職学｜後悔しないキャリア戦略▶

▶ AIコーディング環境なら実践Claude Code入門（Amazon）が実務で即使える入門書です。Amazonベストセラーにも選ばれていますよ。

-Python

comment コメントをキャンセル

: Python

Pythonデコレータ入門：基本概念・実装例と活用テクニック

本稿ではデコレータの基本概念、関数・クラスへの適用方法、ログ出力や実行時間計測など実務で役立つ例を紹介し、落とし穴とデバッグ手法も解説します。

: Python

Pythonicとは何か？語源・Zen of Python・実務ベストプラクティス

「Pythonic」はPythonらしさ・自然さを指す言葉で、Zen of Pythonの哲学に基づく可読性・シンプルさ・idiomaticなコードを書くことが求められます。

: Python

Pythonデコレータ入門：@記号の意味と実装パターン

デコレータは関数やクラスに振る舞いを付与する仕組みで、@ 記号は糖衣構文です。本稿では概要から実装例、ベストプラクティスまで解説します。

: Python

Python デコレータの基本と型安全な実装方法

関数やクラスをラップして機能追加できる Python デコレータの基本と型安全な活用方法を紹介します。

: Python

Python 3.12 の新機能とリリーススケジュール：型ヒント・f文字列改善

Python 3.12 は型ヒントの ergonomics と f文字列デバッグ支援を中心に大幅改良が加わり、2026 年 4 月に正式リリースされました。本稿では新しい type 文や = デバッグ指定子など具体的な構文例とパフォーマンス向上ポイント、さらに Windows 11 環境でのインストール手順を紹介します。

Kubernetes コスト最適化手法と2026年主要ツール徹底比較

AI副業市場2026予測と高単価案件獲得の必須スキル・プラットフォーム活用法

PythonマイクロサービスのDockerデプロイとCI/CDベストプラクティス

1. プロジェクト構成と依存管理

📌 ポイント

📂 推奨ディレクトリレイアウト

pyproject.toml の抜粋（バージョンは 変数 で管理）

Poetry での操作例

2. Dockerfile の安全・軽量設計

📌 ポイント

改訂版 Dockerfile

主な改善点

3. ローカル開発環境（Compose ＆ DevContainer）

📌 ポイント

docker-compose.yml

DevContainer 設定 (.devcontainer/devcontainer.json)

4. CI/CD パイプライン（GitHub Actions）

📌 ポイント

dependabot.yml（自動バージョン更新）

.github/workflows/ci-cd.yml

主な改善点

5. バージョン管理と自動更新の仕組み

📌 なぜ「バージョンを固定」しつつ「定期的に最新へ」？

実装例

6. 主要クラウドへのデプロイ比較

デプロイ手順の共通パターン

7. 運用・監視・セキュリティの基本設定

📌 ロギングとメトリクス（OpenTelemetry + Prometheus）

docker-compose.yml に追加

otel/otel-config.yaml（抜粋）

アプリ側依存とコード例

📌 非 root 実行とイメージスキャン

📌 定期的な脆弱性データベース更新

8. まとめ

`pyproject.toml` の抜粋（バージョンは変数で管理）

`docker-compose.yml`

DevContainer 設定 (`.devcontainer/devcontainer.json`)

`dependabot.yml`（自動バージョン更新）

`.github/workflows/ci-cd.yml`

`docker-compose.yml` に追加

`otel/otel-config.yaml`（抜粋）