Docker Secrets完全ガイド：コンテナのパスワード管理、まだ環境変数でやってるの？

そのパスワード、全員に見えてますよ

ENV DB_PASSWORD=secret123

Dockerfileにこう書いてあるのを見て、背筋が凍ったことはありませんか？
Gitに上げれば世界中にパスワード公開です。

「じゃあ起動時に -e DB_PASSWORD=secret123 って渡せばいいんでしょ？」
これも実は危険です。docker inspect コマンドで誰でも見れてしまうし、ログにも残りやすいからです。

Alibaba Cloud - 開発者向けクラウドの第一候補、ライトサーバー15%OFF、プロジェクトの迅速な立ち上げを支援

15%割引を入手 →広告

本番環境では、パスワードやAPIキーなどの機密情報（Secrets）を安全に管理する仕組みが必須です。
この記事では、Docker標準のセキュリティ機能である Docker Secrets について解説します。

Docker Secrets とは？

Docker Swarm（Dockerのオーケストレーション機能）に統合された機密情報管理システムです。

• 暗号化保存: マネージャーノードのRaftログ内で暗号化されて保存されます。
• 必要な時だけ復号: サービスを実行するノードにだけ送られ、/run/secrets/ というメモリ上のファイルシステム（tmpfs）にファイルとしてマウントされます。
• ディスクに残らない: コンテナを停止すれば消えます。

コンテナ内のアプリからは、普通のファイルを読み込むのと同じ感覚で /run/secrets/db_password を読めばパスワードが手に入ります。

実践：Docker Secretsの使い方（Swarmモード）

Secrets機能は本来、Swarmモード（docker swarm initした状態）で真価を発揮します。

1. Secretの作成

# 標準入力から作成
echo "supersecretpassword" | docker secret create my_db_pass -

# ファイルから作成
docker secret create my_api_key ./api_key.txt

2. サービスでの利用

MySQLサービスを作るときに、このSecretを渡します。

docker service create \
  --name mysql \
  --secret my_db_pass \
  -e MYSQL_ROOT_PASSWORD_FILE=/run/secrets/my_db_pass \
  mysql:8.0

ここで注目すべきは環境変数 MYSQL_ROOT_PASSWORD_FILE です。
多くの公式イメージ（MySQL, Postgres, WordPressなど）は、_FILE というサフィックスのついた環境変数をサポートしており、そこにパスワードファイルのパスを指定できます。
これにより、環境変数に生パスワードを書くことなく認証情報を渡せます。

Docker Composeでの擬似Secrets（非Swarm環境）

「Swarmなんて使ってない、ただの docker-compose だよ」という方も多いでしょう。
安心してください。ComposeでもSecrets”風”の使い方ができます。暗号化などの高度な機能はありませんが、「パスワードを環境変数から隠蔽する」という目的は達せられます。

Railway - モダンなデプロイプラットフォーム、煩わしい運用から解放、数分で公開

今すぐ始める →広告

ファイル構成

.
├── docker-compose.yml
└── secrets/
    └── db_password.txt  (中身: supersecretpassword)

※ secrets/ フォルダは必ず .gitignore に入れてください！

docker-compose.yml

version: '3.8'

services:
  db:
    image: mysql:8.0
    environment:
      MYSQL_ROOT_PASSWORD_FILE: /run/secrets/db_root_password
    secrets:
      - db_root_password

secrets:
  db_root_password:
    file: ./secrets/db_password.txt

これで docker-compose up すると、コンテナ内の /run/secrets/db_root_password にホスト側の db_password.txt の中身がマウントされます。アプリケーション側は、SwarmかComposeかを気にせず「/run/secrets/ を読む」という実装で統一できます。

他のツールとの比較

まとめ

セキュリティ事故は「まあいいか」から生まれます。

1. 脱・環境変数：パスワードを -e で渡すのはやめる。
2. ファイル渡し（Docker Secrets） への移行：/run/secrets/ を読む実装に変える。
3. 公式イメージの _FILE 対応 を活用する。

この3ステップで、あなたのコンテナ環境は格段に堅牢になります。

2 min read · 公開日: 2025年12月18日 · 更新日: 2026年1月22日

Easton

技術開発