4주차 강의 노트: Dockerfile 과 이미지 빌드 · 배포

진행: 이론 15분 (이 노트) → 실습 45분 (실습 가이드)

1. 이미지는 어떻게 만들어지나

지금까지는 남이 만든 이미지(nginx, postgres)를 썼습니다. 오늘은 스터디 예제 앱 "방명록(guestbook)" 을 내 이미지로 만듭니다.

flowchart TB
    S["📄 소스 코드
app.py, requirements.txt"] --> F["📝 Dockerfile
(만드는 순서를 적은 레시피)"]
    F -- "docker build" --> I["📦 이미지
guestbook:v1"]
    I -- "docker push" --> H["☁️ Docker Hub
내아이디/guestbook:v1"]
    H -- "docker pull / run" --> O["옆 사람 노트북
서버, Kubernetes"]

2. 오늘 만드는 앱: 방명록(guestbook)

이 앱 하나를 10주차까지 계속 씁니다.

3. Dockerfile 한 줄씩 읽기

# ① 무엇에서 시작할지 (베이스 이미지)
FROM python:3.14-slim
# ② 작업 폴더
WORKDIR /app
# ③ 라이브러리 목록 복사 → ④ 라이브러리 설치
COPY requirements.txt .
RUN pip install --no-cache-dir --root-user-action=ignore -r requirements.txt
# ⑤ 소스 코드 복사
COPY app.py .
# ⑥ 일반 사용자를 만들고, 이후는 이 사용자로 실행
RUN useradd --create-home appuser
USER appuser
# ⑦ 빌드할 때 바꿀 수 있는 값(ARG) → 실행할 때 쓰는 환경 변수(ENV)로 넘김
ARG APP_VERSION=v1
ARG APP_COLOR=royalblue
ENV APP_VERSION=${APP_VERSION} \
    APP_COLOR=${APP_COLOR}
# ⑧ 이 앱의 포트 (안내문)
EXPOSE 8000
# ⑨ 메인 프로세스
CMD ["gunicorn", "--bind", "0.0.0.0:8000", "--workers", "1", "--threads", "4", "app:app"]

왜 slim 베이스 이미지인가

왜 USER appuser 인가 (보안 기본기)

컨테이너 안의 기본 사용자는 root(관리자) 입니다. 앱에 보안 구멍이 생겨 공격당하면 공격자가 컨테이너 안의 root 권한을 얻습니다. 일반 사용자로 실행하면 피해를 줄일 수 있습니다. 실무에서 기본으로 요구하는 항목입니다.

4. 레이어 캐시: 빌드가 빨라지는 원리

Dockerfile 의 명령 하나하나가 레이어(층) 가 됩니다. Docker 는 이전에 같은 명령으로 같은 결과를 만든 적이 있으면 그 레이어를 다시 만들지 않고 재사용(CACHED) 합니다.

규칙: 어떤 층이 바뀌면, 그 층과 그 위의 모든 층을 다시 만듭니다.

flowchart TB
    subgraph G["✅ 좋은 순서 (우리 Dockerfile)"]
        direction TB
        G1["FROM python:3.14-slim"] --> G2["COPY requirements.txt"]
        G2 --> G3["RUN pip install ← 무거움 (약 4~5초)"]
        G3 --> G4["COPY app.py ← 코드 수정 시 여기부터만"]
    end
    subgraph B["❌ 나쁜 순서"]
        direction TB
        B1["FROM python:3.14-slim"] --> B2["COPY . . ← 코드 수정 시 여기부터"]
        B2 --> B3["RUN pip install ← 매번 다시 설치!"]
    end

.dockerignore

docker build -t ... . 의 마지막 . 은 "이 폴더를 빌드 재료(빌드 컨텍스트)로 쓴다" 는 뜻입니다. 이미지에 들어가면 안 되는 파일(캐시, 비밀번호 파일, .git 등)은 .dockerignore 에 적어서 제외합니다. .gitignore 와 같은 방식입니다.

5. 이미지 이름 짓기와 배포

5-1. 태그 전략

5-2. Docker Hub 에 올리기

Docker Hub 에 올리려면 이미지 이름이 내아이디/저장소:태그 형식이어야 합니다.

guestbook:v1                       ← 내 노트북에서만 쓰는 이름
내아이디/guestbook:v1              ← Docker Hub 에 올릴 수 있는 이름
docker.io/내아이디/guestbook:v1    ← 생략 없는 전체 이름 (2주차)

5-3. 멀티 플랫폼 이미지: Mac 과 Windows 가 섞인 팀의 필수 지식

해결: 두 CPU 용을 한 번에 만들어 같은 태그로 올립니다(2주차에 본 nginx 처럼).

docker buildx build --platform linux/amd64,linux/arm64 -t 내아이디/guestbook:v1 --push .

• buildx 는 Docker 의 확장 빌드 도구입니다. Docker Desktop 에 기본으로 들어 있습니다.
• 내 CPU 가 아닌 쪽은 Docker Desktop 이 에뮬레이션(흉내 내기)으로 빌드합니다. 그래서 시간이 더 걸립니다(실측 약 45초).
• --push 를 붙이면 빌드가 끝나자마자 Docker Hub 에 올립니다.

핵심 요약

4주차 핵심
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
① Dockerfile   FROM → WORKDIR → COPY(목록) → RUN(설치) → COPY(코드)
                → USER(일반 사용자) → ENV/ARG → EXPOSE → CMD(메인 프로세스)
② RUN vs CMD   RUN = 빌드할 때 1번 / CMD = 컨테이너 켤 때마다
③ ARG vs ENV   ARG = 빌드할 때만 (--build-arg) / ENV = 실행할 때도 (-e 로 덮어씀)
④ 캐시         바뀐 층부터 위로 전부 다시 → 안 바뀌는 것은 위, 자주 바뀌는 것은 아래
⑤ 배포         docker build -t 이름:태그 .   →   docker push 내아이디/이름:태그
⑥ 멀티 플랫폼   docker buildx build --platform linux/amd64,linux/arm64 ... --push .
⑦ 보안         일반 사용자(USER)로 실행, 공개 저장소에 비밀 정보 금지

참고 자료

더 깊이 보고 싶다면 (볼트 내 정리 노트):

• 도커 개요3: Dockerfile 명령어, ENTRYPOINT vs CMD, 멀티 스테이지 빌드
• 레이어 구조 이론 / 레이어 구조 실습: 레이어와 Copy-on-Write 상세

공식 문서:

• Dockerfile reference: https://docs.docker.com/reference/dockerfile/
• Build best practices: https://docs.docker.com/build/building/best-practices/
• Multi-platform builds: https://docs.docker.com/build/building/multi-platform/

네비게이션