Deploy Basics

Pattern การ deploy แบบง่าย

การ deploy ที่ตรงไปตรงมาที่สุด: SSH ไปยัง server, pull image ใหม่, แล้วเริ่ม container

# On the deployment server
docker pull acme/api-server:2.1.0
docker stop api-server || true
docker rm   api-server || true
docker run -d \
  --name api-server \
  --restart unless-stopped \
  -p 3000:3000 \
  -e DATABASE_URL="$DATABASE_URL" \
  acme/api-server:2.1.0

|| true ป้องกัน pipeline ล้มเหลวหาก container ยังไม่มีอยู่ใน deploy ครั้งแรก

Restart policies

flag --restart บอก Docker ว่าต้องทำอะไรหาก container หยุดทำงาน:

Policy	พฤติกรรม
no (ค่าเริ่มต้น)	ไม่ restart เลย
on-failure	Restart เฉพาะเมื่อ exit code ไม่ใช่ศูนย์
always	Restart เสมอ รวมถึงหลัง Docker daemon restart (หลัง docker stop ด้วยตนเองจะยังหยุดอยู่จนถึงตอนนั้น)
unless-stopped	เหมือน always แต่ไม่ restart หากคุณ docker stop ด้วยตัวเอง

สำหรับ production service ใช้ unless-stopped เพราะรอดทั้งการ reboot host และการ restart daemon แต่ยังเคารพการสั่งหยุดด้วยตัวคุณเอง

Rolling updates ด้วย Docker Compose

หาก server รัน service ด้วย Compose v2 อยู่แล้ว การอัปเดตทำได้ด้วยสองคำสั่ง:

# Pull all updated images defined in compose.yml
docker compose pull

# Recreate containers that have a newer image
docker compose up -d

Compose จะ recreate เฉพาะ service ที่ image digest เปลี่ยนแปลง โดยปล่อย service ที่ไม่เปลี่ยนแปลงให้รันต่อ หากคุณใช้ compose.yml ที่ pin image tag:

services:
  api:
    image: acme/api-server:2.1.0
    restart: unless-stopped
    ports:
      - "3000:3000"
    env_file:
      - .env

เปลี่ยน tag ใน compose.yml แล้วรัน docker compose up -d — Compose จะตรวจพบการเปลี่ยน tag และ recreate service

Environment variables และ secrets บน host

ห้ามฝัง secrets ไว้ใน image ให้ส่งผ่านตอน runtime แทน

สามแนวทาง เรียงจากง่ายไปถึงปลอดภัยที่สุด:

1. Environment variables ผ่าน -e

docker run -d \
  -e DATABASE_URL="postgres://user:pass@db:5432/app" \
  -e SECRET_KEY="abc123" \
  acme/api-server:2.1.0

ง่าย แต่ค่าจะปรากฏใน docker inspect output และ shell history

2. Environment file ผ่าน --env-file

# .env (not committed to git)
DATABASE_URL=postgres://user:pass@db:5432/app
SECRET_KEY=abc123

docker run -d --env-file .env acme/api-server:2.1.0

สะอาดกว่า -e flags เก็บไฟล์ .env ใน secrets manager หรือ vault บน server

3. Docker secrets (Swarm / Compose)

สำหรับทีมที่รัน Docker Swarm หรือ Compose กับ block secrets: นั้น secrets จะถูก mount เป็นไฟล์ที่ /run/secrets/<name> ภายใน container นี่คือตัวเลือกที่ปลอดภัยที่สุด — secrets ไม่ถูกเปิดเผยเป็น environment variables

services:
  api:
    image: acme/api-server:2.1.0
    secrets:
      - db_password

secrets:
  db_password:
    file: ./db_password.txt

ตรวจสอบการ deploy

หลัง pull และ restart ยืนยันว่า version ใหม่กำลังรัน:

docker ps
docker logs api-server --tail 20
docker inspect api-server | grep Image

ลองทำ: pull และรัน public image พร้อม restart policy

Snippet ด้านล่างแสดงการ docker pull, docker run -d --restart unless-stopped, และการตรวจสอบ log — ใช้ public image ดังนั้นไม่ต้องใช้ credentials

# Pull a versioned nginx image
docker pull nginx:1.31-alpine

# Run it detached with a restart policy
docker run -d \
  --name web \
  --restart unless-stopped \
  -p 8080:80 \
  nginx:1.31-alpine

# Verify it is running
docker ps

# Check logs
docker logs web --tail 5

# Simulate an update: pull a different tag and recreate
docker pull nginx:1.30-alpine
docker stop web && docker rm web
docker run -d \
  --name web \
  --restart unless-stopped \
  -p 8080:80 \
  nginx:1.30-alpine

docker ps

Deploy with a restart policy ↗

🐳 Pull tag ใหม่แล้ว recreate; เก็บ secrets ใน env/secret stores ไม่ใช่ใน image

Pattern อัปเดตมาตรฐานคือ: pull tag ใหม่, หยุดและลบ container เก่า, เริ่ม container ใหม่ด้วย flag เดิม ใช้ --restart unless-stopped สำหรับ service ที่รันตลอดเวลา ห้ามฝัง credentials ไว้ใน image — ส่งผ่านตอน runtime ด้วย --env-file หรือ mount ผ่าน Docker secrets

ข้อแลกเปลี่ยน

ตัวเลือก	Benefit	Cost
Deploy ด้วย docker run ตรง ๆ	เข้าใจง่าย ควบคุมทุกขั้นตอนได้ตรงไปตรงมา	ไม่มี rollback อัตโนมัติ ต้อง script การเช็คและย้อนกลับเอง
Deploy ด้วย docker compose up -d	Declarative รองรับหลาย service พร้อมกัน recreate เฉพาะที่ image เปลี่ยน	ยังไม่ใช่ full orchestration ไม่มี health-based rollback แบบ Kubernetes

ข้อผิดพลาดที่พบบ่อย

• Deploy image เวอร์ชันใหม่ขึ้น production โดยไม่เคยรัน vulnerability scan ก่อนเลย
• Pull image แล้ว restart ทันทีโดยไม่ทดสอบว่า container รันขึ้นจริงก่อน promote ไปสภาพแวดล้อมถัดไป
• Push และ deploy เฉพาะ latest tag ทำให้ไม่มี version ที่ pin ไว้ให้ rollback กลับไปได้เมื่อ deploy มีปัญหา

💡 ตัวอย่างจากของจริง

หลายทีมใช้ Trivy (open-source scanner จาก Aqua Security, github.com/aquasecurity/trivy) เป็น gate ใน pipeline ก่อนขั้นตอน deploy — หากพบ critical CVE ใน image จะ block การ deploy โดยอัตโนมัติ แทนที่จะปล่อยให้ image ที่มีช่องโหว่หลุดไปถึง production

Restart policy ใดที่ restart container เมื่อ host reboot แต่ไม่ restart หากคุณ docker stop ด้วยตั้งใจ?

always on-failure unless-stopped no

docker compose up -d ทำอะไรเมื่อคุณอัปเดต image tag ใน compose.yml?

Build image ใหม่จาก Dockerfile Recreate เฉพาะ service ที่ image เปลี่ยนแปลง โดยปล่อยตัวอื่นรันต่อ Restart service ทั้งหมดโดยไม่คำนึงถึงการเปลี่ยนแปลง Pull image ทั้งหมดแต่ไม่ recreate container ใด ๆ

เหตุใดจึงไม่ควรฝัง secrets ไว้ใน Docker image?

Docker image ไม่รองรับ environment variables Image มักถูกแชร์, เก็บใน registry, และตรวจสอบได้ — secrets ใน layer เปิดเผยต่อทุกคนที่ pull image ได้ Container orchestrator ไม่สามารถอ่าน secrets จาก image ขนาด image เพิ่มขึ้นอย่างมากเมื่อเพิ่ม secrets

flag ใดทำให้ container ที่รัง survive การ restart ของ Docker daemon หรือ host?

--detach --keep-alive --restart unless-stopped --persistent

Submit

Mark as complete