Dockerイメージのタグ戦略｜latest・semver・Git SHAの使い分けとベストプラクティス

「:latest を使えばいいでしょ？」——本番で必ず痛い目を見ます。タグの付け方ひとつで、デプロイの信頼性が天と地ほど変わります。この記事で本番でも安心なタグ戦略の型を押さえます。

目次

1. そもそもタグとは
2. latest の罠
3. Semantic Versioning（semver）
4. Git SHA ベース（Immutable）
5. ダイジェスト参照（最強の不変性）
6. 複数タグの組み合わせ
7. 現場で使える命名規則
8. まとめ

1. そもそもタグとは

Docker のタグは、イメージID（SHA256 ダイジェスト）に付けられたエイリアスです。Git のタグと似ていますが、可変である点が大きな違い。

2. latest の罠

:latest は「タグを省略したときに使われるデフォルト」でしかなく、「最新」を意味しません。しかも中身が勝手に差し替わるため、本番で使うと思わぬ事故の原因になります。

典型的な事故シナリオ

# 開発環境
$ docker pull myapp:latest   # sha256:abc...（v1.0相当、動作OK）

# 1週間後、本番デプロイ時
$ docker pull myapp:latest   # sha256:xyz...（v2.0にアップデート済み、非互換）
# → 本番が壊れる💥

3. Semantic Versioning（semver）

バージョン番号を MAJOR.MINOR.PATCH の3段階で付けるルール（公式な業界標準）。

複数の粒度でタグを付ける

実務では、1つのイメージに複数の粒度のタグを同時に付けて公開します。

# v1.2.3 をビルドしたとき、3つのタグを同時に付ける
docker build -t myapp:1.2.3 -t myapp:1.2 -t myapp:1 -t myapp:latest .
docker push myapp:1.2.3
docker push myapp:1.2
docker push myapp:1
docker push myapp:latest

4. Git SHA ベース（Immutable）

本番で最も信頼できるのは、Git コミットハッシュをタグに埋め込む方法。「このイメージは、Git のこのコミットから作られた、唯一無二のビルド」と保証できます。

# CI の中で
SHA=$(git rev-parse --short=7 HEAD)
docker build -t myapp:${SHA} .
docker push myapp:${SHA}

# 例：myapp:a1b2c3d のようなタグが作られる

なぜ Git SHA が強いのか

semver と Git SHA の併用が定石

# リリース時はどちらも付ける
VERSION=1.2.3
SHA=$(git rev-parse --short=7 HEAD)
docker build \
  -t myapp:${VERSION} \
  -t myapp:${VERSION}-${SHA} \
  -t myapp:${SHA} \
  .
docker push myapp:${VERSION}
docker push myapp:${VERSION}-${SHA}
docker push myapp:${SHA}

5. ダイジェスト参照（最強の不変性）

タグすら信じず、ダイジェスト（SHA256ハッシュ）で直接指定する方法。タグが差し替わっても絶対にブレない。

# digest を確認
$ docker inspect postgres:16 --format='{{.RepoDigests}}'
[postgres@sha256:abc123def456...]

# digest 指定で pull
$ docker pull postgres@sha256:abc123def456...

# compose.yml でも
services:
  db:
    image: postgres@sha256:abc123def456...

6. 複数タグの組み合わせ

実戦の典型パターン：

# リリース v1.2.3 でこれだけのタグを付ける
myapp:1.2.3          # ← 本番デプロイが参照（不変・厳密）
myapp:1.2            # ← マイナー追随したい開発環境
myapp:1              # ← メジャー追随
myapp:latest         # ← デモ用
myapp:a1b2c3d        # ← Git SHA 追跡用
myapp:sha-a1b2c3d    # ← prefix 付き（GitHub Container Registry系）

7. 現場で使える命名規則

ベース命名

<registry>/<org>/<image>:<tag>

例：
myid/shop-api:1.2.3                              # Docker Hub
ghcr.io/myorg/shop-api:1.2.3                     # GitHub Container Registry
123456789.dkr.ecr.us-east-1.amazonaws.com/shop-api:1.2.3  # ECR

推奨ルールセット

8. まとめ

参考リンク

• Semantic Versioning 2.0.0（日本語） — semver 仕様の一次情報源。
• docker tag リファレンス — タグ付けコマンド公式。

Dockerの基礎を動画で体系的に学びませんか？

実務で使う基礎だけを3時間に凝縮。環境構築から丁寧に解説しています。

クーポン割引で講座を見る →