Claude Code × Docker — DevContainer・マルチステージビルド・本番デプロイまで

claude "Next.js フロントエンド + Hono.js API + PostgreSQL + Redis を含む
docker-compose.yml を作成してください。
- ホットリロードが効くボリューム設定
- 各サービスのヘルスチェック
- .env.local からの環境変数読み込み
- 開発用とCI用でプロファイルを分ける"

version: "3.9"
 
services:
  # ──── フロントエンド ────
  web:
    build:
      context: ./web
      dockerfile: Dockerfile.dev
      target: development
    ports:
      - "3000:3000"
    volumes:
      - ./web:/app
      - /app/node_modules  # node_modulesはコンテナ内のものを使用
    environment:
      - NODE_ENV=development
      - NEXT_PUBLIC_API_URL=http://localhost:8080
    env_file:
      - ./web/.env.local
    depends_on:
      api:
        condition: service_healthy
    healthcheck:
      test: ["CMD", "wget", "--spider", "-q", "http://localhost:3000"]
      interval: 30s
      timeout: 10s
      retries: 3
 
  # ──── バックエンドAPI ────
  api:
    build:
      context: ./api
      dockerfile: Dockerfile.dev
    ports:
      - "8080:8080"
    volumes:
      - ./api:/app
      - /app/node_modules
    environment:
      - NODE_ENV=development
      - DATABASE_URL=postgresql://postgres:password@db:5432/myapp
      - REDIS_URL=redis://cache:6379
    depends_on:
      db:
        condition: service_healthy
      cache:
        condition: service_healthy
    healthcheck:
      test: ["CMD", "wget", "--spider", "-q", "http://localhost:8080/health"]
      interval: 10s
      timeout: 5s
      retries: 5
      start_period: 10s
 
  # ──── PostgreSQL ────
  db:
    image: postgres:16-alpine
    ports:
      - "5432:5432"
    environment:
      POSTGRES_USER: postgres
      POSTGRES_PASSWORD: password
      POSTGRES_DB: myapp
    volumes:
      - postgres_data:/var/lib/postgresql/data
      - ./db/init:/docker-entrypoint-initdb.d  # 初期化SQL
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres -d myapp"]
      interval: 5s
      timeout: 3s
      retries: 10
 
  # ──── Redis ────
  cache:
    image: redis:7-alpine
    ports:
      - "6379:6379"
    volumes:
      - redis_data:/data
    command: redis-server --appendonly yes
    healthcheck:
      test: ["CMD", "redis-cli", "ping"]
      interval: 5s
      timeout: 3s
      retries: 5
 
  # ──── DBマイグレーション（CI用プロファイル）────
  migrate:
    build:
      context: ./api
    command: npm run db:migrate
    environment:
      - DATABASE_URL=postgresql://postgres:password@db:5432/myapp
    depends_on:
      db:
        condition: service_healthy
    profiles:
      - ci
 
volumes:
  postgres_data:
  redis_data:

# 全サービス起動（ホットリロード有効）
docker compose up -d
 
# ログ確認（全サービス）
docker compose logs -f
 
# 特定サービスのログ
docker compose logs -f api
 
# DBマイグレーション実行
docker compose run --rm migrate
 
# コンテナ内でコマンド実行
docker compose exec api npm run db:seed
 
# 停止・クリーンアップ
docker compose down -v  # ボリュームも削除

# エラーが発生した場合の対処法
docker compose logs api 2>&1 | claude "このエラーを解析して修正方法を提示してください"

# ヘルスチェック状態を確認
docker compose ps
 
# 問題のあるコンテナのヘルスチェック詳細
docker inspect --format='{{json .State.Health}}' myapp-db-1 | python3 -m json.tool

claude "DockerでNode.jsアプリのnode_modulesが
EACCES: permission denied エラーになります。
非rootユーザー設定時の正しいDockerfile修正方法を教えてください"

# メモリ使用量の確認
docker stats --no-stream
 
# CPU・メモリ制限付きでサービス起動
docker compose up -d --scale api=3

claude "以下の要件でGitHub ActionsのCI/CDワークフローを作成してください:
- mainブランチへのpushでDockerイメージをビルド・テスト
- タグプッシュ時にGHCRへpushしてCloud Runへデプロイ
- キャッシュを活用してビルド時間を短縮
- セキュリティスキャン（Trivy）を組み込む"

name: Build and Deploy
 
on:
  push:
    branches: [main]
    tags: ["v*"]
  pull_request:
    branches: [main]
 
env:
  REGISTRY: ghcr.io
  IMAGE_NAME: ${{ github.repository }}
 
jobs:
  # ──── テスト ────
  test:
    runs-on: ubuntu-latest
    services:
      postgres:
        image: postgres:16-alpine
        env:
          POSTGRES_PASSWORD: test
          POSTGRES_DB: testdb
        options: >-
          --health-cmd pg_isready
          --health-interval 10s
          --health-timeout 5s
          --health-retries 5
        ports:
          - 5432:5432
 
    steps:
      - uses: actions/checkout@v4
 
      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: "22"
          cache: "npm"
 
      - name: Install dependencies
        run: npm ci
 
      - name: Run unit tests
        run: npm test
 
      - name: Run integration tests
        run: npm run test:integration
        env:
          DATABASE_URL: postgresql://postgres:test@localhost:5432/testdb
 
  # ──── ビルド & プッシュ ────
  build-and-push:
    needs: test
    runs-on: ubuntu-latest
    if: github.event_name != 'pull_request'
    permissions:
      contents: read
      packages: write
 
    outputs:
      image-digest: ${{ steps.build.outputs.digest }}
      image-tag: ${{ steps.meta.outputs.tags }}
 
    steps:
      - uses: actions/checkout@v4
 
      - name: Set up QEMU（マルチアーキテクチャビルド用）
        uses: docker/setup-qemu-action@v3
 
      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3
 
      - name: Log in to GHCR
        uses: docker/login-action@v3
        with:
          registry: ${{ env.REGISTRY }}
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
 
      - name: Extract Docker metadata
        id: meta
        uses: docker/metadata-action@v5
        with:
          images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
          tags: |
            type=ref,event=branch
            type=semver,pattern={{version}}
            type=semver,pattern={{major}}.{{minor}}
            type=sha,prefix=sha-
 
      - name: Build and push
        id: build
        uses: docker/build-push-action@v5
        with:
          context: .
          platforms: linux/amd64,linux/arm64
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=gha
          cache-to: type=gha,mode=max
 
  # ──── セキュリティスキャン ────
  security-scan:
    needs: build-and-push
    runs-on: ubuntu-latest
    steps:
      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: ${{ needs.build-and-push.outputs.image-tag }}
          format: "sarif"
          output: "trivy-results.sarif"
          severity: "CRITICAL,HIGH"
 
      - name: Upload Trivy scan results
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: "trivy-results.sarif"
 
  # ──── Cloud Run へのデプロイ（タグ時のみ）────
  deploy:
    needs: [build-and-push, security-scan]
    runs-on: ubuntu-latest
    if: startsWith(github.ref, 'refs/tags/v')
    environment: production
 
    steps:
      - name: Authenticate to Google Cloud
        uses: google-github-actions/auth@v2
        with:
          credentials_json: ${{ secrets.GCP_SA_KEY }}
 
      - name: Deploy to Cloud Run
        uses: google-github-actions/deploy-cloudrun@v2
        with:
          service: myapp
          image: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}@${{ needs.build-and-push.outputs.image-digest }}
          region: asia-northeast1
          flags: |
            --min-instances=1
            --max-instances=10
            --memory=512Mi
            --cpu=1

claude "現在のDockerfileのセキュリティ問題を洗い出して、
CISベンチマークに準拠した修正版を作成してください。
特に: 非rootユーザー、不要パッケージの排除、read-onlyファイルシステムを重視してください"

# 専用ユーザーの作成
RUN addgroup --gid 1001 appgroup && \
    adduser --uid 1001 --gid 1001 --disabled-password appuser
 
# ファイル所有権の設定
COPY --chown=appuser:appgroup . .
USER appuser

# 本番イメージにシェルや開発ツールを含めない
FROM gcr.io/distroless/nodejs22-debian12:nonroot AS runner
# ← distrolessはシェルすら含まない最小イメージ

# docker-compose.yml での設定
services:
  app:
    read_only: true
    tmpfs:
      - /tmp
      - /app/logs
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL

# Dockerビルド時のシークレットを安全に扱う
docker build \
  --secret id=api_key,env=API_KEY \
  -t myapp:prod .

# Dockerfileでのシークレット参照
RUN --mount=type=secret,id=api_key \
    API_KEY=$(cat /run/secrets/api_key) npm run build:with-key
# ← ビルドキャッシュやイメージ履歴にシークレットが残らない

# Trivyによるスキャン（Claude Codeで解釈を依頼）
trivy image myapp:prod --format json | \
  claude "このTrivy脆弱性レポートを分析し、
  緊急対応が必要な問題と修正方法を優先度順に教えてください"

claude "以下の要件でKubernetesマニフェストを作成してください:
- Deployment: 3レプリカ、ローリングアップデート
- Service: ClusterIP（Ingressからのみアクセス）
- HPA: CPU 70%でスケールアウト（最大10レプリカ）
- PodDisruptionBudget: 最低2レプリカを常に維持
- リソースリクエスト・リミット設定済み"

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
  namespace: production
  labels:
    app: myapp
    version: "1.0.0"
spec:
  replicas: 3
  selector:
    matchLabels:
      app: myapp
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxUnavailable: 1
      maxSurge: 1
  template:
    metadata:
      labels:
        app: myapp
    spec:
      # セキュリティコンテキスト
      securityContext:
        runAsNonRoot: true
        runAsUser: 1001
        fsGroup: 1001
      
      # グレースフルシャットダウン
      terminationGracePeriodSeconds: 60
      
      containers:
        - name: app
          image: ghcr.io/myorg/myapp:v1.0.0
          ports:
            - containerPort: 3000
          
          # リソース設定（実測値ベースで調整）
          resources:
            requests:
              cpu: "100m"
              memory: "128Mi"
            limits:
              cpu: "500m"
              memory: "512Mi"
          
          # ヘルスチェック
          livenessProbe:
            httpGet:
              path: /api/health
              port: 3000
            initialDelaySeconds: 10
            periodSeconds: 10
            failureThreshold: 3
          readinessProbe:
            httpGet:
              path: /api/ready
              port: 3000
            initialDelaySeconds: 5
            periodSeconds: 5
            successThreshold: 1
          
          # セキュリティ
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop:
                - ALL
          
          # 一時ファイル用ボリューム
          volumeMounts:
            - name: tmp-volume
              mountPath: /tmp
      
      volumes:
        - name: tmp-volume
          emptyDir: {}
 
---
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: myapp-hpa
  namespace: production
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: myapp
  minReplicas: 3
  maxReplicas: 10
  metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 70
    - type: Resource
      resource:
        name: memory
        target:
          type: Utilization
          averageUtilization: 80
 
---
apiVersion: policy/v1
kind: PodDisruptionBudget
metadata:
  name: myapp-pdb
  namespace: production
spec:
  minAvailable: 2
  selector:
    matchLabels:
      app: myapp

# Claude Codeにfly.toml生成を依頼
claude "Next.js アプリをFly.ioにデプロイするためのfly.tomlを作成してください。
東京リージョン、512MBメモリ、自動スケールなし（固定2インスタンス）"

# fly.toml
app = "myapp"
primary_region = "nrt"  # 東京
kill_signal = "SIGINT"
kill_timeout = "5s"
 
[build]
  dockerfile = "Dockerfile"
 
[env]
  PORT = "8080"
  NODE_ENV = "production"
 
[http_service]
  internal_port = 8080
  force_https = true
  auto_stop_machines = false
  auto_start_machines = true
  min_machines_running = 2
  
  [[http_service.checks]]
    grace_period = "10s"
    interval = "30s"
    method = "GET"
    path = "/api/health"
    timeout = "5s"
 
[[vm]]
  memory = "512mb"
  cpu_kind = "shared"
  cpus = 1

# 不要なイメージ・コンテナの一括削除
docker system prune -af --volumes
 
# Claude Codeで根本原因を分析
df -h | claude "このディスク使用状況を分析して、
Docker関連ファイルの削減方法を教えてください"

# キャッシュの効率を確認
docker build --progress=plain . 2>&1 | grep -E "CACHED|DONE"
 
# 典型的な原因: COPYの順序が最適化されていない
# Claude Codeに修正を依頼:
claude "このDockerfileのキャッシュ効率を改善してください。
COPY命令の順序を最適化して、コード変更時の再ビルドを最小化してください"

# OOMの確認
docker events --filter event=oom
 
# メモリ使用量の詳細確認
docker stats --no-stream --format "table {{.Name}}\t{{.MemUsage}}\t{{.MemPerc}}"
 
# Claude Codeで最適化を依頼
claude "Node.jsアプリのDockerコンテナが512MBでOOMします。
--max-old-space-sizeの設定とK8sのresource limitsを
どう調整すべきか教えてください"