MinIOのDockerfile構成とS3互換ストレージ運用｜バケット初期化と認証設定の手順

この記事のポイント

・MinIOのDockerfileはHEALTHCHECKを追加した公式イメージ拡張が基本
・バケット初期化はmcコマンドの専用initサービスで自動化する
・アプリ用アクセスキーはROOTと別ユーザーで最小権限ポリシーを発行する
・depends_on + service_healthyで初期化の実行順序を保証できる

FROM minio/minio:RELEASE.2024-10-13T13-34-11Z

# MinIOが起動したかどうかを /minio/health/live で確認
HEALTHCHECK --interval=10s --timeout=5s --start-period=20s --retries=3 \
  CMD curl -f http://localhost:9000/minio/health/live || exit 1

# データディレクトリとWebコンソールポートを明示して起動
CMD ["server", "/data", "--console-address", ":9001"]

# .env ファイルで管理する例（.gitignore に追加すること）
MINIO_ROOT_USER=minioadmin
MINIO_ROOT_PASSWORD=minioadmin123

# docker-compose.yml のボリューム定義例
volumes:
  - minio_data:/data

# ...（省略）...

volumes:
  minio_data:

# エイリアス（接続先）を登録
mc alias set local http://minio:9000 minioadmin minioadmin123

# バケットを作成（バケットが存在する場合はスキップ）
mc mb --ignore-existing local/my-bucket

# 出力例（環境により異なります）
# Bucket created successfully `local/my-bucket`.

FROM minio/mc:RELEASE.2024-10-08T09-37-26Z

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]

#!/bin/sh
set -e

# MinIOが起動するまでエイリアス設定をリトライ
until mc alias set local "${MINIO_ENDPOINT}" \
      "${MINIO_ROOT_USER}" "${MINIO_ROOT_PASSWORD}"; do
  echo "MinIOの起動を待機中..."
  sleep 2
done

# バケットを作成（冪等：存在しても失敗しない）
mc mb --ignore-existing local/"${MINIO_BUCKET}"
echo "バケット初期化完了: ${MINIO_BUCKET}"

services:
  minio:
    build:
      context: .
      dockerfile: Dockerfile
    ports:
      - "9000:9000"
      - "9001:9001"
    env_file:
      - .env
    volumes:
      - minio_data:/data
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:9000/minio/health/live"]
      interval: 10s
      timeout: 5s
      retries: 3
      start_period: 20s

  minio-init:
    build:
      context: .
      dockerfile: Dockerfile.init
    environment:
      MINIO_ENDPOINT: http://minio:9000
      MINIO_ROOT_USER: ${MINIO_ROOT_USER}
      MINIO_ROOT_PASSWORD: ${MINIO_ROOT_PASSWORD}
      MINIO_BUCKET: my-bucket
    depends_on:
      minio:
        condition: service_healthy

volumes:
  minio_data:

# アプリ用ユーザーの作成（ユーザー名とシークレットキーを指定）
mc admin user add local appuser appsecret123

# 既定ポリシーを割り当て（readwrite / readonly / writeonly から選択）
mc admin policy attach local readwrite --user appuser

# policy.json（my-bucket内のGetObject・PutObjectのみ許可）
cat << 'EOF' > /tmp/policy.json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject", "s3:PutObject"],
      "Resource": ["arn:aws:s3:::my-bucket/*"]
    }
  ]
}
EOF

# カスタムポリシーを作成してユーザーにアタッチ
mc admin policy create local my-bucket-rw /tmp/policy.json
mc admin policy attach local my-bucket-rw --user appuser

# ボリュームのデータディレクトリのUID確認（出力例）
docker run --rm -v myproject_minio_data:/data minio/minio:RELEASE.2024-10-13T13-34-11Z \
  ls -la /data
# drwxr-xr-x 2 1000 1000 ... のように表示される（環境により異なります）

# MinIOコンテナの実行ユーザーを確認
docker exec minio id
# uid=1000(minio) gid=1000(minio) のように表示される（環境により異なります）