docker compose secretsでパスワードを安全に渡す方法｜environmentを使わないシークレット設計

この記事のポイント

・docker compose secretsはパスワードを /run/secrets/ にtmpfsでマウントする
・docker inspectで機密情報が見えない安全な設計になっている
・compose.ymlのsecretsセクションにfile:でパスを指定するだけで使い始められる
・POSTGRES_PASSWORD_FILE等の_FILE変数対応イメージとそのまま連携できる

# NG: environmentにパスワードを直書きした場合
# docker inspect  の "Env" セクション出力例（実行時の表示）
"Env": [
    "POSTGRES_USER=app_user",
    "POSTGRES_PASSWORD=StrongP4ssw0rd!",
    "POSTGRES_DB=myapp",
    "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
],
# パスワードが平文で記録されている

# secrets ディレクトリを作成してパスワードファイルを作成
$ mkdir -p ./secrets
$ echo "StrongP4ssw0rd!" > ./secrets/db_password.txt
$ chmod 600 ./secrets/db_password.txt

# .gitignore に追加してgit管理対象から除外する（必須）
$ echo "secrets/" >> .gitignore

# ファイル作成後の確認
$ ls -la ./secrets/
total 12
drwxr-xr-x 2 tomohiro tomohiro 4096 Aug  1 09:15 .
drwxr-xr-x 5 tomohiro tomohiro 4096 Aug  1 09:15 ..
-rw------- 1 tomohiro tomohiro   17 Aug  1 09:15 db_password.txt

# compose.yml（PostgreSQL + secrets の基本設定）
services:
  db:
    image: postgres:16
    secrets:
      - db_password
    environment:
      POSTGRES_USER: app_user
      # POSTGRES_PASSWORD ではなく _FILE サフィックス付きの変数を使う
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
      POSTGRES_DB: myapp

# 最上位レベルで secrets を定義する（ここがないと動かない）
secrets:
  db_password:
    file: ./secrets/db_password.txt

$ docker compose up -d
[+] Running 2/2
 ✔ Network myapp_default  Created   0.1s
 ✔ Container myapp_db_1   Started   0.8s

# /run/secrets/ にファイルが存在することを確認
$ docker compose exec db ls -la /run/secrets/
total 4
drwxr-xr-x 2 root root   60 Aug  1 09:20 .
drwxr-xr-x 1 root root   20 Aug  1 09:20 ..
-r--r--r-- 1 root root   17 Aug  1 09:15 db_password

# ファイル内容を確認（読み取れる）
$ docker compose exec db cat /run/secrets/db_password
StrongP4ssw0rd!

# 環境変数にはパスワード本体が出てこないことを確認
$ docker compose exec db env | grep -i pass
POSTGRES_PASSWORD_FILE=/run/secrets/db_password
# パスワード本体は Env に出てこない（ここが重要）

# docker inspect の "Env" セクション確認（実運用での出力例）
$ docker inspect myapp_db_1 | python3 -c   "import sys,json; data=json.load(sys.stdin); print(data[0]['Config']['Env'])"

['POSTGRES_PASSWORD_FILE=/run/secrets/db_password',
 'POSTGRES_USER=app_user',
 'POSTGRES_DB=myapp',
 'GOSU_VERSION=1.17',
 'LANG=en_US.utf8',
 'PG_MAJOR=16',
 'PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin',
 'PGDATA=/var/lib/postgresql/data']

# POSTGRES_PASSWORD は存在しない
# パスワードは Secrets で管理されており、Env には出てこない

# compose.yml（WebアプリとDBで複数secretsを使う完成例）
services:
  db:
    image: postgres:16
    secrets:
      - db_password
    environment:
      POSTGRES_USER: app_user
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password
      POSTGRES_DB: myapp
    volumes:
      - db_data:/var/lib/postgresql/data

  web:
    image: myapp:latest
    depends_on:
      - db
    secrets:
      - db_password
      - jwt_secret
    environment:
      DB_HOST: db
      DB_USER: app_user
      DB_NAME: myapp
      # パスワードの実体は /run/secrets/ 以下のファイルで渡す
      DB_PASSWORD_FILE: /run/secrets/db_password
      JWT_SECRET_FILE: /run/secrets/jwt_secret
    ports:
      - "8080:8080"

volumes:
  db_data:

# 複数の secrets を定義する
secrets:
  db_password:
    file: ./secrets/db_password.txt
  jwt_secret:
    file: ./secrets/jwt_secret.txt

# Python でのSecrets読み込みパターン（app.py の例）
import os

def read_secret(secret_name):
    # _FILE サフィックス変数からファイルを読み込む汎用関数
    file_path_env = f"{secret_name}_FILE"
    file_path = os.environ.get(file_path_env)
    if file_path and os.path.exists(file_path):
        with open(file_path, 'r') as f:
            return f.read().strip()
    # フォールバック: 直接環境変数から読む（開発環境向け）
    return os.environ.get(secret_name)

# 使用例
db_password = read_secret("DB_PASSWORD")
jwt_secret  = read_secret("JWT_SECRET")

# secrets ディレクトリとファイルをまとめて作成する
$ mkdir -p secrets
$ echo "StrongP4ssw0rd!" > secrets/db_password.txt
$ echo "myJwtSuperSecret2024!" > secrets/jwt_secret.txt
$ chmod 600 secrets/*.txt

# 作成後の確認
$ ls -la secrets/
total 16
drwxr-xr-x 2 tomohiro tomohiro 4096 Aug  1 10:05 .
drwxr-xr-x 5 tomohiro tomohiro 4096 Aug  1 10:05 ..
-rw------- 1 tomohiro tomohiro   17 Aug  1 10:05 db_password.txt
-rw------- 1 tomohiro tomohiro   23 Aug  1 10:05 jwt_secret.txt

# git管理から除外されているか確認（必須）
$ grep secrets .gitignore
secrets/

# .env（非機密・gitにコミット可）
DB_HOST=db
DB_PORT=5432
DB_NAME=myapp
APP_PORT=8080
LOG_LEVEL=info

# secrets/*.txt（機密・gitignoreで除外）
# db_password.txt    ← データベースパスワード
# jwt_secret.txt     ← JWTシークレットキー
# stripe_api_key.txt ← 決済APIキー

$ docker compose up
service "web" refers to undefined secret "jwt_secret"

# 原因: compose.yml の最上位に secrets セクションが不足
# 修正前（NG）
services:
  web:
    secrets:
      - jwt_secret
# ← 最上位の secrets セクションがない

# 修正後（OK）
services:
  web:
    secrets:
      - jwt_secret

secrets:
  jwt_secret:
    file: ./secrets/jwt_secret.txt

$ docker compose up
Error response from daemon:
  open /home/tomohiro/myapp/secrets/db_password.txt: no such file or directory

# 設定の確認（compose.yml のパス解釈を確認する）
$ docker compose config | grep -A 5 secrets

# ファイルの存在確認
$ ls -la secrets/
ls: cannot access 'secrets/': No such file or directory

# 対処: secrets ディレクトリとファイルを作成する
$ mkdir -p secrets
$ echo "パスワード" > secrets/db_password.txt
$ chmod 600 secrets/db_password.txt

# docker-entrypoint.sh（_FILE変数非対応イメージへの対応例）
#!/bin/sh
set -e

# secrets ファイルを読み込んで環境変数として設定する
if [ -f "$APP_SECRET_FILE" ]; then
    APP_SECRET=$(cat "$APP_SECRET_FILE")
    export APP_SECRET
fi

# 元のコマンドを実行する
exec "$@"