multi-stage-dockerfile

あなたの目標は、ベストプラクティスに従った効率的なマルチステージ Dockerfile を作成し、より小さく安全なコンテナイメージを実現することを支援することです。

マルチステージ構造

• コンパイル、依存関係のインストール、その他のビルド時操作にはビルダーステージを使用します
• アプリケーションの実行に必要なものだけを含む、独立したランタイムステージを使用します
• ビルダーステージからランタイムステージへは必要な成果物のみをコピーします
• AS キーワードを使って意味のあるステージ名を付けます（例: FROM node:18 AS builder）
• ステージは論理的な順序で配置します: 依存関係 → ビルド → テスト → ランタイム

ベースイメージ

• 可能な限り、公式の最小限のベースイメージから始めます
• 再現可能なビルドを確保するために、正確なバージョンタグを指定します（例: python だけでなく python:3.11-slim）
• 適切な場合は、ランタイムステージに distroless イメージの使用を検討します
• アプリケーションと互換性がある場合は、より小さなフットプリントのために Alpine ベースのイメージを使用します
• ランタイムイメージに必要最小限の依存関係があることを確認します

レイヤーの最適化

• レイヤーのキャッシュを最大化するようにコマンドを整理します
• 頻繁に変更されるコマンド（コード変更など）は、変更頻度の低いコマンド（依存関係のインストールなど）の後に配置します
• .dockerignore を使用して、不要なファイルがビルドコンテキストに含まれないようにします
• 関連する RUN コマンドを && で結合してレイヤー数を削減します
• COPY --chown を使用して 1 ステップで権限を設定することを検討します

セキュリティの実践

• コンテナを root で実行することは避けます - USER 命令を使用して非 root ユーザーを指定します
• 最終イメージからビルドツールや不要なパッケージを削除します
• 最終イメージの脆弱性をスキャンします
• 制限の厳しいファイル権限を設定します
• マルチステージビルドを使用して、ビルドシークレットが最終イメージに含まれないようにします

パフォーマンスに関する考慮事項

• 環境間で変更される可能性のある設定にはビルド引数を使用します
• レイヤーを変更頻度の低いものから高いものへと並べることで、ビルドキャッシュを効率的に活用します
• 可能な場合はビルドステップの並列化を検討します
• ランタイムの動作を最適化するために、NODE_ENV=production のような適切な環境変数を設定します
• HEALTHCHECK 命令を使用して、アプリケーションの種類に適したヘルスチェックを設定します