Docker とは？

「自分のPCでは動くのにサーバーでは動かない」という問題を減らすためだよ。コンテナにはアプリを動かすのに必要なものが入っているから、ホスト側に何がインストールされているかに頼らなくて済むんだ。ただし完全に同じになるわけではないよ。コンテナはホストのカーネルを共有するから、CPUの種類（アーキテクチャ）が違うホストでは、同じイメージがそのままでは動かないことがあるんだ

イメージは、コンテナを作るための手順が入った読み取り専用のテンプレート。コンテナは、そのイメージから起動した実行中のものだよ。Dockerfileという設計図からイメージをビルドして、1つのイメージから同じコンテナをいくつも起動できるんだ

公式のベストプラクティスには、①マルチステージビルドでビルド用と最終出力を分ける、②目的に合う小さなベースイメージを選ぶ（例としてAlpineは6MB未満）、③.dockerignoreでビルドに関係ないファイルを除く、が挙げられているよ。ビルドを速くするにはキャッシュも大事。あるレイヤーが変わると、それより後ろのレイヤーはすべて作り直しになるから、変わりにくい手順を先に書くのがコツだね

公式ドキュメントが挙げている基本は3つ。①特権がいらないサービスは、USER命令でroot以外のユーザーに切り替える。②Docker公式イメージやVerified Publisherのイメージなど、信頼できるベースイメージを選ぶ。③パスワードなどの秘密情報を、ビルド引数や環境変数でビルドに渡さない。最終イメージに残ってしまうから、シークレットマウントを使うんだ。コンテナに入れれば安全になるわけではないから、対策は別に必要だよ