docker contextで複数サーバーのDockerをローカルから一元管理する方法｜ssh contextの設定とTLS接続の実践手順

この記事のポイント

・ docker context createでSSH contextを作成し、複数Dockerホストを名前で切り替えられる
・ docker context useで対象ホストに切り替えると、以降のdockerコマンドが全てリモートに向く
・ ~/.ssh/configとの組み合わせで接続先の管理をシンプルに一元化できる
・ DOCKER_CONTEXT環境変数でスクリプト・CI/CDにも安全に組み込める

# docker contextの一覧を確認する
$ docker context ls
NAME          DESCRIPTION                            DOCKER ENDPOINT                  ERROR
default *     Current DOCKER_HOST based configuration  unix:///var/run/docker.sock

# SSH鍵認証で接続確認（パスワード入力なしで接続できればOK）
$ ssh ec2-user@10.0.1.100 "docker version --format '{{.Server.Version}}'"
26.1.3

# SSH鍵が設定されていない場合は追加する
$ ssh-copy-id ec2-user@10.0.1.100

# リモートサーバーでgroupsコマンドを実行して確認する
$ ssh ec2-user@10.0.1.100 "groups"
ec2-user adm wheel systemd-journal docker

# dockerグループに所属していない場合は追加する（追加後はSSHを再接続すること）
$ ssh ec2-user@10.0.1.100 "sudo usermod -aG docker ec2-user"

# 本番サーバー用のSSH contextを作成する
$ docker context create prod-web \
  --description "Production web server" \
  --docker "host=ssh://ec2-user@10.0.1.100"
prod-web
Successfully created context "prod-web"

# 検証サーバー用のSSH contextも作成する
$ docker context create staging \
  --description "Staging server" \
  --docker "host=ssh://deploy@192.168.10.20"
staging
Successfully created context "staging"

# 一覧で確認する
$ docker context ls
NAME          DESCRIPTION                            DOCKER ENDPOINT                    ERROR
default *     Current DOCKER_HOST based configuration  unix:///var/run/docker.sock
prod-web      Production web server                  ssh://ec2-user@10.0.1.100
staging       Staging server                         ssh://deploy@192.168.10.20

# prod-webコンテキストに切り替える
$ docker context use prod-web
prod-web
Current context is now "prod-web"

# 以降のdockerコマンドは全てprod-webサーバーで実行される
$ docker ps
CONTAINER ID   IMAGE        COMMAND                  CREATED        STATUS         PORTS                   NAMES
a3f9d1b2c4e5   nginx:1.25   "/docker-entrypoint.…"   2 hours ago    Up 2 hours     0.0.0.0:80->80/tcp      web-nginx
7b8e4f6a1c09   mysql:8.0    "docker-entrypoint.s…"   3 hours ago    Up 3 hours     3306/tcp                db-mysql

# 現在どのコンテキストが選択されているか確認する（*印）
$ docker context ls
NAME          DESCRIPTION                            DOCKER ENDPOINT                    ERROR
default       Current DOCKER_HOST based configuration  unix:///var/run/docker.sock
prod-web *    Production web server                  ssh://ec2-user@10.0.1.100
staging       Staging server                         ssh://deploy@192.168.10.20

# ローカル（default）に戻す
$ docker context use default
default
Current context is now "default"

# 不要になったコンテキストを削除する（削除前に別のcontextに切り替えること）
$ docker context rm staging
staging

# ~/.ssh/config に接続先を定義する
Host prod-web
    HostName 10.0.1.100
    User ec2-user
    IdentityFile ~/.ssh/prod_key.pem
    Port 22

Host staging
    HostName 192.168.10.20
    User deploy
    IdentityFile ~/.ssh/staging_key

# ~/.ssh/config のホスト名エイリアスを使ってcontextを作成する
$ docker context create prod-web \
  --description "Production web server" \
  --docker "host=ssh://prod-web"

$ docker context create staging \
  --description "Staging server" \
  --docker "host=ssh://staging"

# 環境変数でコンテキストを一時指定する（docker context useを変更しない）
$ DOCKER_CONTEXT=prod-web docker ps
$ DOCKER_CONTEXT=staging docker images

# デプロイスクリプトへの組み込み例
#!/bin/bash
set -eu

TARGET_CONTEXT=${1:-staging}
echo "Deploying to context: ${TARGET_CONTEXT}"
DOCKER_CONTEXT=${TARGET_CONTEXT} docker compose -f docker-compose.prod.yml pull
DOCKER_CONTEXT=${TARGET_CONTEXT} docker compose -f docker-compose.prod.yml up -d
echo "Deploy completed on ${TARGET_CONTEXT}."

# TLS contextを作成する（クライアント証明書・鍵・CA証明書が必要）
$ docker context create prod-tls \
  --description "Production server (TLS)" \
  --docker "host=tcp://10.0.1.100:2376,ca=/path/to/ca.pem,cert=/path/to/cert.pem,key=/path/to/key.pem"
prod-tls
Successfully created context "prod-tls"

# 接続確認
$ docker context use prod-tls
$ docker info | grep "Server Version"
 Server Version: 26.1.3

# エラー例
$ docker ps
error during connect: Get "http://docker.example.internal/v1.45/containers/json":
  dial unix /var/run/docker.sock: connect: no such file or directory

# まずSSH接続単体で動作確認する
$ ssh ec2-user@10.0.1.100 "docker ps"
CONTAINER ID   IMAGE   ...   # これが通れば接続自体は問題なし

# contextのエンドポイント設定を確認する
$ docker context inspect prod-web
[
  {
    "Name": "prod-web",
    "Endpoints": {
      "docker": {
        "Host": "ssh://ec2-user@10.0.1.100"
      }
    }
  }
]

# ~/.ssh/config にControlMasterを追記する
Host prod-web
    HostName 10.0.1.100
    User ec2-user
    IdentityFile ~/.ssh/prod_key.pem
    ControlMaster auto
    ControlPath ~/.ssh/cm_%r@%h:%p
    ControlPersist 60s    # 最後のコマンドから60秒間接続を保持する