【Dockerセキュリティ入門】.envファイルの危険性と安全な代替手段：Secrets・Volumeで守る機密情報

version: '3.8'
services:
  app:
    image: myapp
    secrets:
      - db_password
secrets:
  db_password:
    file: ./secrets/db_password.txt

Copy

n8n
├── docker-compose.yml
├── init-data.sh
└── secrets
    ├── postgres_db.txt
    ├── postgres_non_root_password.txt
    ├── postgres_non_root_user.txt
    ├── postgres_password.txt
    └── postgres_user.txt
└── .env

Copy

# docker-compose.ymlのバージョンは3.8以上でdocker compose secretsを利用できます。
version: '3.9'

services:
  # --------------------
  # 1. PostgreSQLデータベースのサービス定義
  # --------------------
  postgres:
    image: postgres:16
    restart: always    # コンテナが停止した場合、常に再起動する設定

    # --- secrets を使った環境変数の設定 ---
    # ここがsecrets活用の重要なポイントです。
    # 通常の環境変数（例: POSTGRES_USER=admin）の代わりに、末尾に `_FILE` をつけた環境変数を指定します。
    # これにより、PostgreSQLイメージは指定されたファイルパス（/run/secrets/...）から値を読み込み、それを設定値として使用します。
    environment:
      POSTGRES_USER_FILE: /run/secrets/postgres_user
      POSTGRES_PASSWORD_FILE: /run/secrets/postgres_password
      POSTGRES_DB_FILE: /run/secrets/postgres_db
      POSTGRES_NON_ROOT_USER_FILE: /run/secrets/postgres_non_root_user
      POSTGRES_NON_ROOT_PASSWORD_FILE: /run/secrets/postgres_non_root_password

    volumes:
      - db_storage:/var/lib/postgresql/data # DBデータを保存するためのボリューム
      - ./init-data.sh:/docker-entrypoint-initdb.d/init-data.sh # DB初期化用のスクリプト

    healthcheck:
      # --- コンテナが正常に動作しているかを確認する設定です。 ---
      # ここでもsecretsファイルにアクセスして、DBユーザー名とDB名を取得しています。
      # 注意：`$$`について
      # docker-compose.ymlでは`$`は変数展開のために使われます。
      # シェルコマンド内で`$`をそのまま使いたい場合（ここでは`cat`コマンドの出力を`pg_isready`コマンドに渡すため）、
      test: ['CMD-SHELL', "pg_isready -h localhost -U $$(cat /run/secrets/postgres_user) -d $$(cat /run/secrets/postgres_db)"]
      interval: 5s
      timeout: 5s
      retries: 10

    # --- このサービスに割り当てるsecretsの定義 ---
    # トップレベル（ファイルの一番下）で定義したsecretsの中から、
    # この `postgres` サービスが使用するものを指定します。
    # ここで指定したものが、コンテナ内の `/run/secrets/` 以下にファイルとしてマウントされます。
    # 例えば `postgres_user` は `/run/secrets/postgres_user` というファイルになります。
    secrets:
      - postgres_user
      - postgres_password
      - postgres_db
      - postgres_non_root_user
      - postgres_non_root_password

  # --------------------
  # 2. n8n（ワークフロー自動化ツール）のサービス定義
  # --------------------
  n8n:
    image: docker.n8n.io/n8nio/n8n # 使用するDockerイメージ
    restart: always

    environment:
      # .envファイルなどから読み込む通常の環境変数
      GENERIC_TIMEZONE: ${GENERIC_TIMEZONE}
      TZ: ${TZ}
      DB_TYPE: ${DB_TYPE}
      DB_POSTGRESDB_HOST: ${DB_POSTGRESDB_HOST}
      DB_POSTGRESDB_PORT: ${DB_POSTGRESDB_PORT}
      # n8nのイメージもPostgreSQLと同様に、`_FILE` 接尾辞を使うことで、
      # ファイルからデータベースの接続情報を読み込むことができます。
      DB_POSTGRESDB_DATABASE_FILE: /run/secrets/postgres_db
      DB_POSTGRESDB_USER_FILE: /run/secrets/postgres_non_root_user
      DB_POSTGRESDB_PASSWORD_FILE: /run/secrets/postgres_non_root_password

    ports:
      - "5678:5678" # ホストの5678番ポートをコンテナの5678番ポートに接続

    volumes:
      - n8n_storage:/home/node/.n8n # n8nデータを保存するためのボリューム

    depends_on:
      # postgresサービスが正常起動（healthcheckが通る）してから、n8nサービスを起動させます。
      postgres:
        condition: service_healthy

    # --- n8nサービスに割り当てるsecrets ---
    # n8nが必要とするデータベース接続情報だけを割り当てます。
    # このように、サービスごとに必要な機密情報だけを安全に渡すことができます。
    secrets:
      - postgres_db
      - postgres_non_root_user
      - postgres_non_root_password

# =================================================================
# トップレベルの定義エリア
# =================================================================

# ここで定義したものが、各サービス内の`secrets:`セクションで参照されます。
secrets:
  # `postgres_user`という名前のsecretを定義します。
  postgres_user:
    file: ./secrets/postgres_user.txt # 実際の値は、このファイルから読み込まれます。
  # 同様に、他のsecretもファイルパスを指定して定義します。
  postgres_password:
    file: ./secrets/postgres_password.txGENERIC_TIMEZONE=Asia/Tokyo
TZ=Asia/Tokyo
　postgres_db:
    file: ./secrets/postgres_db.txt
  postgres_non_root_user:
    file: ./secrets/postgres_non_root_user.txt
  postgres_non_root_password:
    file: ./secrets/postgres_non_root_password.txt

# --- ボリュームの定義 ---
# サービス間で共有したり、データを永続化するためのボリュームを定義します。
volumes:
  db_storage:
  n8n_storage:

Copy

#!/bin/bash
set -euo pipefail
# --- Docker Secretsから機密情報を読み込む ---
# docker compose secretsで設定された機密情報は、コンテナ内の `/run/secrets/` ディレクトリに
# ファイルとして自動的にマウント（配置）されます。
# `cat` コマンドでそのファイルの中身を読み取り、シェルの変数に代入しています。

POSTGRES_USER=$(cat /run/secrets/postgres_user)
POSTGRES_DB=$(cat /run/secrets/postgres_db)
POSTGRES_NON_ROOT_USER=$(cat /run/secrets/postgres_non_root_user)
POSTGRES_NON_ROOT_PASSWORD=$(cat /run/secrets/postgres_non_root_password)

# --- 以下は公式のコードのままで変更しない ---

if [ -n "${POSTGRES_NON_ROOT_USER:-}" ] && [ -n "${POSTGRES_NON_ROOT_PASSWORD:-}" ]; then
	psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <<-EOSQL
		CREATE USER ${POSTGRES_NON_ROOT_USER} WITH PASSWORD '${POSTGRES_NON_ROOT_PASSWORD}';
		GRANT ALL PRIVILEGES ON DATABASE ${POSTGRES_DB} TO ${POSTGRES_NON_ROOT_USER};
		GRANT CREATE ON SCHEMA public TO ${POSTGRES_NON_ROOT_USER};
	EOSQL

	echo "SETUP INFO: Non-root user created: ${POSTGRES_NON_ROOT_USER}"
else
	echo "SETUP INFO: POSTGRES_NON_ROOT_USER or POSTGRES_NON_ROOT_PASSWORD not found. Skipping user creation."
fi

Copy

# n8n
GENERIC_TIMEZONE=Asia/Tokyo
TZ=Asia/Tokyo
N8N_ENFORCE_SETTINGS_FILE_PERMISSIONS=true
DB_TYPE=postgresdb
POSTGRESDB_PORT=5432

Copy

n8n
├── docker-compose.yml
├── Dockerfile
├── fetch_secret.sh
├── init-data.sh
└── .env

Copy

version: '3.9'
services:

  # =======================================================
  # 1. 秘密情報取得サービス (secrets-fetcher)
  # 役割: Azure Key Vaultなどの安全な場所から秘密情報をダウンロードし、
  # 共有ボリューム (secrets_data) に書き込みます。
  # =======================================================
  secrets-fetcher:
    # 秘密情報取得スクリプトが含まれるDockerfileを、現在のディレクトリからビルドします。
    build: .
    # 'secrets_data'という共有ボリュームを、コンテナ内の'/secrets'ディレクトリにマウントします。
    # ダウンロードした秘密情報は、こVAULT_NAME_ENV=n8n-key-vaultボリューム内にファイルとして書き込まれます。
    env_file:
      - .env
    volumes:
      - secrets_data:/secrets
    # スクリプトが成功裏に実行され、秘密情報の書き込みが完了したら、このコンテナは停止します。
    # 継続的に実行する必要はありません。
    restart: "no"

  # =======================================================
  # 2. データベースサービス (postgres)
  # 役割: アプリケーションが使用するPostgreSQLデータベースです。
  # =======================================================
  postgres:
    image: postgres:16
    # 常に再起動するように設定します（コンテナがクラッシュした場合など）。
    restart: always
    environment:
      # Postgresは環境変数だけでなく、ファイルから認証情報を読み込むことができます。
      # ファイルのパスは、secrets-fetcherが書き込んだ共有ボリューム内の場所を指定します。
      POSTGRES_USER_FILE: /secrets/postgres_user.txt
      POSTGRES_PASSWORD_FILE: /secrets/postgres_password.txt
      POSTGRES_NON_ROOT_USER_FILE: /secrets/postgres_non_root_user2.txt
      POSTGRES_NON_ROOT_PASSWORD_FILE: /secrets/postgres_non_root_password.txt
      POSTGRES_DB: ${DB_TYPE}
      # このサービスを起動する前に、secrets-fetcherサービスが
      # 正常に終了するのを待ちます。
　　　depends_on:
     	  secrets-fetcher:
          condition: service_completed_successfully
    volumes:
      # データベースのデータを永続化するためのボリューム
      - db_storage:/var/lib/postgresql/data
      # データベース起動時に初期設定スクリプトを実行
      -./init-data.sh:/docker-entrypoint-initdb.d/init-data.sh
      # 秘密情報ファイルにアクセスするために、共有ボリュームをマウント
      - secrets_data:/secrets
    healthcheck:
      # データベースが正常に稼働しているかを確認するための設定
      # 'CMD-SHELL'でシェルコマンドを実行します。 # $$(cat /secrets/...) の部分で、秘密情報ファイルからユーザー名を読み込んでいます。
      test: ['CMD-SHELL', 'pg_isready -h localhost -U $$(cat /secrets/postgres_user.txt)  -d $$(cat /secrets/postgres_db.txt)']
      interval: 5s
      timeout: 5s
      retries: 10

  # =======================================================
  # 3. アプリケーションサービス (n8n)
  # 役割: ワークフロー自動化ツールn8nのアプリケーション本体です。
  # =======================================================
  n8n:
    # n8nの公式Dockerイメージを使用します。
    image: docker.n8n.io/n8nio/n8n
    # 常に再起動するように設定します。
    restart: always
    env_file:
      - .env
    environment:
      # .envファイルなどで定義された環境変数をコンテナに渡します
      GENERIC_TIMEZONE: ${GENERIC_TIMEZONE}
      TZ: ${TZ}
      DB_TYPE: ${DB_TYPE}
      DB_POSTGRESDB_HOST: ${DB_POSTGRESDB_HOST}
      DB_POSTGRESDB_PORT: ${DB_POSTGRESDB_PORT}
      DB_POSTGRESDB_DATABASE: ${DB_POSTGRESDB_DATABASE}
      # データベース接続用のユーザー名/パスワードも、秘密情報ファイルから読み込みます。
      DB_POSTGRESDB_USER_FILE: /secrets/postgres_non_root_user.txt
      DB_POSTGRESDB_PASSWORD_FILE: /secrets/postgres_non_root_password.txt

    ports:
      - 5678:5678
    # レガシーなリンク機能ですが、ここではDB接続に使われます。
    volumes:
      # n8nのデータを永続化するためのボリューム
      - n8n_storage:/home/node/.n8n
      # 秘密情報ファイルにアクセスするために、共有ボリュームをマウント
      # ':ro' をつけることで、「読み取り専用 (Read-Only)」になり、安全性が高まります。
      - secrets_data:/secrets:ro
    depends_on:
      # このサービスを起動する前に、postgresサービスが
      # 正常な状態 (healthcheckが成功した状態) になるのを待ちます。
      postgres:
        condition: service_healthy

# =======================================================
# 共有ストレージ (ボリューム) の定義
# =======================================================
volumes:
  # データベースの永続化データ用
  db_storage:
  # アプリケーションの永続化データ用
  n8n_storage:
  # 秘密情報ファイル（パスワードなど）をサービス間で共有するためのボリューム
  secrets_data:

Copy

FROM mcr.microsoft.com/azure-cli:latest # ベースイメージとして、Azure CLI (コマンドラインツール) が入った公式イメージを使用します。

WORKDIR /home # コンテナ内部の作業ディレクトリを /home に設定します。

COPY fetch_secret.sh . # ホスト側（あなたのPCがある場所）にある 'fetch_secret.sh' スクリプトを、コンテナ内の /home にコピーします。

RUN chmod +x fetch_secret.sh # コピーしたスクリプトファイルに実行権限を付与します。

# CMD (コマンド): コンテナが起動したときに実行されるメインの処理です。
CMD ["/bin/sh", "-c", "az login --identity && sh fetch_secret.sh"]
# 1. "az login --identity": Azure Managed Identity (管理されたID) を使ってAzureにログインします。
#    これにより、パスワードや認証情報を直接コンテナに渡さなくても、Key Vaultにアクセスできます。
# 2. "&&": ログインが成功したら、次のコマンドを実行します。
# 3. "sh fetch_secret.sh": コピーしておいた秘密情報取得スクリプトを実行します。
#    このスクリプトがKey Vaultから情報を取得し、共有ボリューム (/secrets) に書き込む役割を果たします。

Copy

#!/usr/bin/env bash
# シェルスクリプトの実行環境を指定します。
set -euo pipefail # スクリプトの実行設定。
# -e: コマンドが失敗（エラーコードが0以外）したら、即座にスクリプトを終了します。
# -u: 未定義の変数を使おうとしたら、エラーとして終了します。
# -o pipefail: パイプ（|）で繋いだコマンドの途中で失敗があった場合も、エラーとして終了します。（安全性向上）

#.envファイルが存在するか確認し、存在すればその内容を読み込む
if [ -f .env ]; then
  export $(grep -v '^#' .env | xargs)
fi

# 環境変数 VAULT_NAME_ENV から VAULT_NAME を設定する。
# もしVAULT_NAME_ENVが未設定または空の場合、デフォルトを使用する。
VAULT_NAME="${VAULT_NAME_ENV:-default-name}"

# VAULT_NAMEが最終的に空かチェックし、空の場合はエラーを表示して終了する。
if [ -z "$VAULT_NAME" ]; then
    echo "Error: VAULT_NAME is not set. Please set VAULT_NAME_ENV in the .env file or check the script's default value."
fi

# 秘密情報を書き込むディレクトリを変数に設定します。
# このパスは、docker-composeで設定した共有ボリューム（secrets_data）の場所です。
FOLDER="/secrets"
# 秘密情報書き込み用のディレクトリを、存在しなければ作成します。（-pオプションで途中のディレクトリもまとめて作成）
mkdir -p "$FOLDER"

# Key Vaultに保存されている全ての秘密情報（シークレット）の名前を取得し、ループで一つずつ処理します。
# az keyvault secret list: Key Vault内のシークレット一覧を取得するコマンド

for secret in $(az keyvault secret list \\
    --vault-name "$VAULT_NAME" \\
    --query "[].name" \\
    -o tsv); do

  # ループで取得した秘密情報名（$secret）を使って、その秘密情報の「実際の値」を取得します。
  # az keyvault secret show: 特定のシークレットの詳細を取得するコマンド

  value=$(az keyvault secret show \\
    --vault-name "$VAULT_NAME" \\
    --name "$secret" \\
    --query "value" -o tsv)

  # ファイル名として安全に使えるように、秘密情報名に含まれるハイフン（-）をアンダースコア（_）に変換します。
  # 例: 'postgres-user' -> 'postgres_user'
  safe_name=$(printf '%s' "$secret" | tr '-' '_')
  # 秘密情報の値を書き出すファイルのパスを定義します。（例: /secrets/postgres_user.txt）
  FILE_PATH="$FOLDER/$safe_name.txt"

  # echo "Writing secret for: $safe_name to $FILE_PATH" # (動作確認用のコメントアウトされたログ出力)

  # 取得した秘密情報（$value）を、対応するファイル（$FILE_PATH）に書き込みます。
  # printf "%s" を使うことで、余分な改行や空白が入らず、秘密情報の値だけを正確にファイルに書き込めます。
  printf "%s" "$value" > "$FILE_PATH"
done

Copy

#!/usr/bin/env bash
# このスクリプトはBashシェルで実行されます。
# エラーが発生した際に、すぐ終了するようにします。
set -euo pipefail
# --- 以下は公式のコードのままで変更しない ---
if [ -n "${POSTGRES_NON_ROOT_USER:-}" ] && [ -n "${POSTGRES_NON_ROOT_PASSWORD:-}" ]; then
    psql -v ON_ERROR_STOP=1 --username "$POSTGRES_USER" --dbname "$POSTGRES_DB" <<-EOSQL
        CREATE USER ${POSTGRES_NON_ROOT_USER} WITH PASSWORD '${POSTGRES_NON_ROOT_PASSWORD}';
        GRANT ALL PRIVILEGES ON DATABASE ${POSTGRES_DB} TO ${POSTES_NON_ROOT_USER};
        GRANT CREATE ON SCHEMA public TO ${POSTGRES_NON_ROOT_USER};
    EOSQL
else
    # 必要な環境変数が見つからない場合、ユーザー作成処理をスキップします。
    echo "SETUP INFO: POSTGRES_NON_ROOT_USER or POSTGRES_NON_ROOT_PASSWORD not found. Skipping user creation."
fi

Copy

GENERIC_TIMEZONE=Asia/Tokyo
TZ=Asia/Tokyo
DB_TYPE=postgresdb
DB_POSTGRESDB_HOST=postgres
DB_POSTGRESDB_PORT=5432
DB_TYPE=n8n
DB_POSTGRESDB_DATABASE=n8n
VAULT_NAME_ENV=n8n-key-vault  #アクセス先のKey vaultの名前を入力してください

Copy