Dockerfile生成

マルチステージビルドの利点

素朴なDockerfileはコンパイラのツールチェーン全体を最終イメージにインストールします。マルチステージビルドでは、コンパイルを行う「builder」ステージと、コンパイル済み成果物だけを載せる最終ステージに分けられます:

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER node
EXPOSE 3000
CMD ["node", "dist/index.js"]

最終イメージからは開発依存関係、ソースファイル、ビルドキャッシュがすべて除かれ、イメージサイズが60〜80パーセント削減されることもよくあります。

ベースイメージの種類

テンプレートでは可能な限りslimまたはalpineイメージを使用します。ベースイメージを自分で調整する場合の主な選択肢は次のとおりです:

レイヤーキャッシュのルール

Dockerは各行をキャッシュします。レイヤーが変わると、それより下はすべて再ビルドされます。変更頻度の低い順に並べると:

1. FROMのベースイメージ（めったに変わらない）。
2. システムパッケージ（apt-get install）、変更はまれ。
3. 依存関係マニフェスト（package.json、requirements.txt、composer.json）。
4. 依存関係のインストール手順。マニフェストが変わったときだけ実行される。
5. ソースコードのコピー。最も頻繁に変わるレイヤーで、それ以降はコミットのたびに再ビルドされる。
6. コンパイルと最終のCMD。

この順序を崩すことが、CIビルドが遅くなる最も一般的な原因です。

セキュリティチェックリスト

• 非rootで実行する。 末尾付近にUSER appuser（またはUSER 1000）を置く。
• バージョンを固定する。 python:3.12.7-slimはpython:3.12より良く、python:latestよりはるかに良い。
• /に頼らず明示的なWORKDIRを設定する。
• ローカルファイルにはADDではなくCOPYを使う。 ADDには自動展開の副作用がある。
• HEALTHCHECKを追加してオーケストレーターが停止したプロセスを検出できるようにする。
• パッケージキャッシュは同じRUN行で掃除する。 apt-get install ... && rm -rf /var/lib/apt/lists/*。