ガイド: コンテナとシークレット
「イメージは固定する」「シークレットはファイルに平文で置かない」「Mac では Docker Desktop 以外の選択肢もある」の 3 本柱。
シークレット
- AI エージェント時代のシークレット受け渡し: 4 段階の考え方と道具 — 直読み → 起動時注入 → Secret Store → IAM ロール。Infisical、1Password Environments、Cloudflare Secrets Store、age
- docker-vals: docker compose up だけでシークレットストアの値をコンテナに注入する —
docker compose upで SSM / Vault / 1Password から注入
イメージのサプライチェーン対策
- dockerfile-pin: Dockerfile / compose / GitHub Actions のイメージを @sha256: で固定する — Dockerfile / compose / Actions のイメージを
@sha256:で固定し、CI で漏れを検出
Mac のコンテナ実行環境
- Apple container を docker / docker compose から使う（socktainer）＋周辺ツール —
docker/docker composeを Apple container で動かす - Docker Sandboxes（sbx）: コーディングエージェントを microVM で隔離する — エージェントを microVM 隔離（旧
docker sandboxは廃止） - AI エージェント用サンドボックス: 隔離の 4 概念（プロセス / gVisor / microVM / WASM）
- nono: Seatbelt / Landlock でコマンドを OS サンドボックス実行する — Seatbelt / Landlock のプロセスサンドボックス