Dockerのbind mountとtmpfsをどう使い分けるか｜マウント種別ごとの性能・権限・バックアップ適性

この記事のポイント

・bind mountはホストのパスをコンテナに直接共有する（ホストに残るが可搬性は低い）
・tmpfsはメモリ上の一時領域でコンテナ停止と同時にデータは消える（機密データ向き）
・バックアップが必要なデータはnamed volume、ホスト連携はbind mount、機密一時データはtmpfs
・選定基準は「永続性・ホスト依存・バックアップ・セキュリティ」の4軸で決める

# 書き込み可能なbind mount
$ docker run --rm \
  --mount type=bind,source=/srv/app/logs,target=/app/logs \
  myapp:latest

# 読み取り専用のbind mount（設定ファイルの配布に使う）
$ docker run --rm \
  --mount type=bind,source=/srv/app/config,target=/app/config,readonly \
  myapp:latest ls /app/config
app.yaml
db.yaml

$ docker inspect myapp-container --format '{{json .Mounts}}' | python3 -m json.tool
[
    {
        "Type": "bind",
        "Source": "/srv/app/config",
        "Destination": "/app/config",
        "Mode": "",
        "RW": false,
        "Propagation": "rprivate"
    }
]

# ホストのsrcディレクトリをコンテナにマウントして開発サーバーを起動
$ docker run -d \
  --name dev-server \
  --mount type=bind,source=$(pwd)/src,target=/app/src \
  -p 8080:8080 \
  node:20-alpine npm run dev

# ホスト側でファイルを編集すると、コンテナ内にも即座に反映される
$ echo "console.log('updated');" >> src/index.js

# ホストのディレクトリがroot所有の場合、コンテナ内の一般ユーザーはアクセスできない
$ ls -la /srv/app/data
drwxr-x--- 2 root root 4096 Sep  7 10:00 /srv/app/data

$ docker run --rm \
  --mount type=bind,source=/srv/app/data,target=/data \
  --user 1000:1000 \
  alpine ls /data
ls: /data: Permission denied

# docker-compose.yml（bind mount）
services:
  app:
    image: myapp:latest
    volumes:
      - type: bind
        source: ./config
        target: /app/config
        read_only: true

# サイズ上限64MB、パーミッション0700でtmpfsをマウント
$ docker run --rm \
  --mount type=tmpfs,target=/run/secrets,tmpfs-size=67108864,tmpfs-mode=0700 \
  myapp:latest df -h /run/secrets
Filesystem      Size  Used Avail Use% Mounted on
tmpfs            64M     0   64M   0% /run/secrets

# docker-compose.yml（tmpfs）
services:
  app:
    image: myapp:latest
    volumes:
      - type: tmpfs
        target: /run/secrets
        tmpfs:
          size: 67108864
          mode: 0700

# tmpfsが実際にメモリ上にあることをコンテナ内から確認する
$ docker run --rm \
  --mount type=tmpfs,target=/run/secrets,tmpfs-size=33554432,tmpfs-mode=0700 \
  alpine sh -c "
    echo 'my-secret-token' > /run/secrets/api_key
    cat /run/secrets/api_key
    mount | grep secrets
  "
my-secret-token
tmpfs on /run/secrets type tmpfs (rw,nosuid,nodev,noexec,relatime,size=32768k,mode=700)

# エラー例
$ docker run --rm \
  --mount type=bind,source=/srv/app/nonexistent,target=/data \
  alpine ls /data
docker: Error response from daemon: invalid mount config for type "bind":
bind source path does not exist: /srv/app/nonexistent.

# 対処：ホスト側でディレクトリを先に作る
$ mkdir -p /srv/app/nonexistent
$ docker run --rm \
  --mount type=bind,source=/srv/app/nonexistent,target=/data \
  alpine ls /data

# エラー確認
$ docker run --rm \
  --mount type=bind,source=/srv/app/data,target=/data \
  --user 1001:1001 \
  alpine touch /data/test.txt
touch: /data/test.txt: Permission denied

# 対処：ホスト側のオーナーをコンテナのUIDに合わせる
$ sudo chown 1001:1001 /srv/app/data
$ docker run --rm \
  --mount type=bind,source=/srv/app/data,target=/data \
  --user 1001:1001 \
  alpine touch /data/test.txt
# エラーなし

# tmpfsのサイズを10MB（10485760バイト）に制限してテスト
$ docker run --rm \
  --mount type=tmpfs,target=/tmp/cache,tmpfs-size=10485760 \
  alpine sh -c "dd if=/dev/zero of=/tmp/cache/fill.dat bs=1M count=20"
dd: /tmp/cache/fill.dat: No space left on device

# 対処：tmpfs-sizeを増やすか、書き込むデータ量を減らす
$ docker run --rm \
  --mount type=tmpfs,target=/tmp/cache,tmpfs-size=104857600 \
  alpine sh -c "dd if=/dev/zero of=/tmp/cache/fill.dat bs=1M count=20 && echo 'OK'"
20+0 records in
20+0 records out
OK