Docker環境変数・シークレット管理と安全な設定｜初心者向け完全ガイド

docker run -e DB_PASSWORD=mypassword123 -e API_KEY=abc123xyz myapp

FROM node:20

# デフォルト値を設定
ENV NODE_ENV=production
ENV PORT=3000

WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .

EXPOSE 3000
CMD ["node", "server.js"]

# データベース設定
DB_HOST=localhost
DB_PORT=5432
DB_NAME=myapp_db
DB_USER=myapp_user
DB_PASSWORD=super_secret_password

# API設定
API_KEY=your_api_key_here
API_SECRET=your_api_secret_here

# アプリケーション設定
NODE_ENV=development
PORT=3000

docker run --env-file .env myapp

.env
.env.local
.env.*.local

# データベース設定
DB_HOST=localhost
DB_PORT=5432
DB_NAME=myapp_db
DB_USER=myapp_user
DB_PASSWORD=<your_password_here>

# API設定
API_KEY=<your_api_key_here>
API_SECRET=<your_api_secret_here>

version: '3.8'

services:
  web:
    build: .
    ports:
      - "3000:3000"
    environment:
      - NODE_ENV=production
      - PORT=3000
      - DB_HOST=db
    env_file:
      - .env
    depends_on:
      - db

  db:
    image: postgres:18
    environment:
      POSTGRES_DB: ${DB_NAME}
      POSTGRES_USER: ${DB_USER}
      POSTGRES_PASSWORD: ${DB_PASSWORD}
    volumes:
      - db_data:/var/lib/postgresql/data

volumes:
  db_data:

DB_HOST=localhost
DB_NAME=myapp_dev
NODE_ENV=development
DEBUG=true

DB_HOST=production-db-server.example.com
DB_NAME=myapp_prod
NODE_ENV=production
DEBUG=false

services:
  web:
    env_file:
      - .env.${ENV:-development}

# 開発環境で起動
ENV=development docker compose up

# 本番環境で起動
ENV=production docker compose up

# ファイルからシークレットを作成
echo "super_secret_password" | docker secret create db_password -

# または、ファイルから読み込む
docker secret create db_password ./db_password.txt

version: '3.8'

services:
  web:
    image: myapp
    secrets:
      - db_password
      - api_key
    environment:
      - DB_PASSWORD_FILE=/run/secrets/db_password
      - API_KEY_FILE=/run/secrets/api_key

secrets:
  db_password:
    external: true
  api_key:
    external: true

const fs = require('fs');

// シークレットファイルから読み込む
const dbPassword = fs.readFileSync('/run/secrets/db_password', 'utf8').trim();
const apiKey = fs.readFileSync('/run/secrets/api_key', 'utf8').trim();

// データベース接続に使用
const dbConfig = {
  host: process.env.DB_HOST,
  user: process.env.DB_USER,
  password: dbPassword,
  database: process.env.DB_NAME
};

version: '3.8'

services:
  web:
    image: myapp
    secrets:
      - db_password

secrets:
  db_password:
    file: ./secrets/db_password.txt

# 環境変数ファイル
.env
.env.local
.env.*.local

# シークレットファイル
secrets/
*.secret
*.key
*.pem

# 設定ファイル（機密情報を含む場合）
config.production.json

# データベース設定
DB_HOST=localhost
DB_PORT=5432
DB_NAME=myapp_db
DB_USER=myapp_user
DB_PASSWORD=<paste_your_password_here>

# API設定
API_KEY=<paste_your_api_key_here>
API_SECRET=<paste_your_api_secret_here>

# アプリケーション設定
NODE_ENV=development
PORT=3000
LOG_LEVEL=debug

cp .env.example .env
docker-compose up

// config/env-validator.js
const requiredEnvVars = [
  'DB_HOST',
  'DB_PORT',
  'DB_NAME',
  'DB_USER',
  'DB_PASSWORD',
  'API_KEY'
];

function validateEnv() {
  const missing = requiredEnvVars.filter(varName => !process.env[varName]);
  
  if (missing.length > 0) {
    console.error('❌ 以下の環境変数が設定されていません:');
    missing.forEach(varName => console.error(`  - ${varName}`));
    console.error('\n.envファイルを確認してください。');
    process.exit(1);
  }
  
  console.log('✅ すべての必要な環境変数が設定されています');
}

module.exports = { validateEnv };

// server.js
require('dotenv').config();
const { validateEnv } = require('./config/env-validator');

// 環境変数の検証
validateEnv();

// アプリケーションの起動
const app = require('./app');
// ...

services:
  web:
    image: myapp
    user: "1000:1000"  # 非rootユーザーで実行
    read_only: true    # ファイルシステムを読み取り専用に
    tmpfs:
      - /tmp
    security_opt:
      - no-new-privileges:true

# コンテナを再ビルドして起動
docker compose up --build

# または、完全にクリーンにしてから起動
docker compose down
docker compose up

# ❌ 間違い（引用符が値に含まれてしまう）
DB_PASSWORD="my password"

# ✅ 正しい（引用符は不要）
DB_PASSWORD=my password

# ✅ スペースを含む場合
DB_PASSWORD=my password with spaces

# ❌ 間違い（シェル変数として認識される）
environment:
  - DB_PASSWORD=${DB_PASSWORD}

# ✅ 正しい（.envファイルから読み込まれる）
environment:
  POSTGRES_PASSWORD: ${DB_PASSWORD}

services:
  web:
    env_file:
      - .env
    environment:
      - DB_HOST=db  # dbサービスを参照

  db:
    env_file:
      - .env  # 同じ.envファイルを読み込む