Dockerfile ベストプラクティス 2025: 軽量・安全・高速なイメージ構築

# 推奨: 用途に応じた最小イメージを選択
# Go アプリケーション
FROM gcr.io/distroless/static-debian12

# Node.js アプリケーション
FROM gcr.io/distroless/nodejs20-debian12

# Python アプリケーション
FROM python:3.12-slim

# 悪い例: タグが変わる可能性
FROM node:20

# 良い例: 具体的なバージョン指定
FROM node:20.18-alpine3.21

# 最良: ダイジェストで完全固定
FROM node:20.18-alpine3.21@sha256:abc123...

# 1. ベースイメージ（ほぼ変更なし）
FROM node:20-alpine AS builder

# 2. システム依存のインストール（まれに変更）
RUN apk add --no-cache python3 make g++

# 3. 依存定義のコピー（パッケージ追加時のみ変更）
WORKDIR /app
COPY package.json package-lock.json ./

# 4. 依存のインストール（パッケージ追加時のみ再実行）
RUN npm ci

# 5. ソースコードのコピー（頻繁に変更）
COPY . .

# 6. ビルド（ソースコード変更のたびに再実行）
RUN npm run build

# 悪い例: 3 つのレイヤーが作成され、中間ファイルが残る
RUN apt-get update
RUN apt-get install -y curl wget
RUN rm -rf /var/lib/apt/lists/*

# 良い例: 1 つのレイヤーに統合、キャッシュも削除
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
      curl \
      wget \
    && rm -rf /var/lib/apt/lists/*

# アプリケーション用ユーザーを作成
RUN addgroup -g 10001 -S appgroup && \
    adduser -u 10001 -S appuser -G appgroup

# 必要なディレクトリの所有権を設定
COPY --chown=appuser:appgroup . /app

# 非 root ユーザーに切り替え
USER appuser

# 絶対にやってはいけない: イメージレイヤーにシークレットが残る
COPY .env /app/.env
ENV API_KEY=sk-secret-key

# 正しい方法: BuildKit シークレットマウント
RUN --mount=type=secret,id=api_key \
    export API_KEY=$(cat /run/secrets/api_key) && \
    ./setup.sh

# .dockerignore
.git
.gitignore
node_modules
.env
.env.*
*.md
docker-compose*.yml
Dockerfile*
.DS_Store
__pycache__
*.pyc
coverage/
.pytest_cache/

# 環境変数で有効化
export DOCKER_BUILDKIT=1

# docker buildx を使用（推奨）
docker buildx build -t myapp:latest .

# pip のキャッシュを保持
RUN --mount=type=cache,target=/root/.cache/pip \
    pip install -r requirements.txt

# npm のキャッシュを保持
RUN --mount=type=cache,target=/root/.npm \
    npm ci

# Go モジュールのキャッシュを保持
RUN --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache/go-build \
    go build -o /app/server .

# apt のキャッシュを保持
RUN --mount=type=cache,target=/var/cache/apt \
    --mount=type=cache,target=/var/lib/apt \
    apt-get update && apt-get install -y curl

# 従来の方法（エスケープが煩雑）
RUN echo "server {" > /etc/nginx/conf.d/default.conf && \
    echo "  listen 80;" >> /etc/nginx/conf.d/default.conf && \
    echo "  location / { proxy_pass http://app:8080; }" >> /etc/nginx/conf.d/default.conf && \
    echo "}" >> /etc/nginx/conf.d/default.conf

# BuildKit のヒアドキュメント（読みやすい）
COPY <<EOF /etc/nginx/conf.d/default.conf
server {
    listen 80;
    location / {
        proxy_pass http://app:8080;
    }
}
EOF

# 避ける: ADD はリモート URL ダウンロードと tar 自動展開を行う
ADD https://example.com/app.tar.gz /app/

# 推奨: COPY は明示的なローカルファイルコピーのみ
COPY app/ /app/

# --no-install-recommends で推奨パッケージを除外
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
      ca-certificates \
      curl \
    && rm -rf /var/lib/apt/lists/*

# Alpine では --no-cache で apk キャッシュを無効化
RUN apk add --no-cache curl

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build && npm prune --production

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
COPY --from=builder /app/package.json ./
USER node
CMD ["node", "dist/index.js"]

HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
  CMD curl -f http://localhost:8080/healthz || exit 1