あなたの.envはDockerイメージに焼き込まれ、誰でも抜き出せる - Qiita

皆さんは、Webサイトやアプリを作る時、「.env」というファイルを使ったことがありますか？これは、パスワードやAPIキーのような、ちょっと秘密にしておきたい情報を入れておくためのファイルです。普段は、この.envファイルは、インターネットで公開されないように、Gitというバージョン管理システムに登録しないように管理していると思います。ところが、この記事では、そんな管理をしているつもりでも、実は秘密が漏れてしまう可能性がある、という怖いお話をしています。

どういうことかというと、私たちがプログラムを動かすために「Docker（ドッカー）」という仕組みを使うことがあります。Dockerは、プログラムとその動くための環境をひとまとめにして、どこでも同じように動かせるようにしてくれる便利なものです。このDockerでプログラムを動かすために、プログラムと一緒に.envファイルの中身も、Dockerイメージという「箱」の中に詰め込んでしまうことがあります。この「箱」に詰め込む作業を「ビルド」と呼ぶのですが、このビルドという作業をしてしまうと、なんと、秘密情報が「イメージの層」という、いわば表面に焼き付いてしまうような状態になってしまうのです。たとえるなら、お菓子のパッケージに、中のチョコレートの味や成分が印刷されてしまうようなイメージです。

そして、この「イメージの層」に焼き付いてしまった秘密情報は、たとえGitに登録していなくても、誰でもその「箱（Dockerイメージ）」さえ手に入れれば、中身を覗き見できてしまう可能性がある、というのです。記事では、実際に他人のDockerイメージから、秘密の鍵が見つかったという具体例も紹介されています。皆さんが普段使っているサービスも、もしかしたらこういう危ない状態になっているかもしれません。自分の会社のサービスだけでなく、利用しているサービスがどうやって作られているのか、少し気になってしまいますね。