MySQL в Docker: быстро и безопасно

Графика с логотипами Docker и MySQL

Быстрый план статьи

Коротко о том, что нужно знать
Запуск одним docker run
docker-compose: удобный и повторяемый способ
Подключение, импорт дампов и проброс портов
Автоматическое создание БД и пользователя при первом запуске
Seed-файлы и порядок выполнения
Настройка конфигурации и флаги командной строки
Безопасность, бэкап, рекомендации по производительности
Чеклисты для ролей, шаблоны, примеры и распространённые ошибки

Введение

Docker позволяет быстро развернуть MySQL без установки серверного пакета на хост. Официальный образ на Docker Hub поддерживает версии 5.6, 5.7 и 8.0. В руководстве показаны практические шаги для разработки, тестирования и простого продакшна (малые нагрузки).

Важно: Docker-контейнер не заменяет полноценную продакшн-инфраструктуру для высоконагруженных баз — рассмотрите управляемые сервисы или оркестрацию.

Установка и первый запуск

Официальный образ предлагает всё необходимое. Укажите нужную версию в теге:

docker pull mysql:8.0

Перед запуском обязательно подготовьте персистентное хранилище: том Docker или bind mount. Без него данные будут потеряны при пересоздании контейнера. Монтируйте в контейнер путь /var/lib/mysql.

Задайте пароль для пользователя root через переменную окружения MYSQL_ROOT_PASSWORD — инициализация не произойдёт без неё. Выберите надёжный пароль.

Пример запуска:

docker run --name my-mysql -e MYSQL_ROOT_PASSWORD=secret -v $HOME/mysql-data:/var/lib/mysql -d mysql:8.0

Проверьте логи:

docker logs my-mysql

Ищите строку с “ready for connections” — это значит, что сервер принимает подключения.

docker-compose для удобства

Команда docker run быстро растёт в длину по мере добавления переменных и опций. docker-compose делает конфигурацию читаемой и пригодной для версии в контроле.

Пример docker-compose.yml:

version: "3"

services:
  mysql:
    image: mysql:8.0
    environment:
      - MYSQL_ROOT_PASSWORD
    volumes:
      - mysql:/var/lib/mysql

volumes:
  mysql:

Запуск с переменной окружения из командной строки:

MYSQL_ROOT_PASSWORD=secure docker-compose up -d

Совет: в CI/CD храните секреты в защищённом хранилище (secrets), а не в явных переменных в репозитории.

Подключение к MySQL из контейнера и хоста

Интерактивная оболочка MySQL внутри контейнера:

docker exec -it my-mysql mysql -p

Импорт SQL-файла с хоста в базу в контейнере:

docker exec -i my-mysql mysql -psecret database_name < path-to-file.sql

Если нужно подключаться с хоста, пробросьте порт 3306 контейнера на порт хоста:

ports:
  - 33060:3306

Или при docker run:

-p 33060:3306

Подключаться к базе с хоста можно на localhost:33060.

Для подключения из другого сервиса в составе docker-compose используйте имя сервиса как хост и порт 3306.

Автоматическое создание БД и пользователя при первом запуске

Официальный образ поддерживает начальную автоматизацию через переменные окружения:

MYSQL_DATABASE — имя схемы, создаваемой при инициализации.
MYSQL_USER и MYSQL_PASSWORD — создают нового пользователя. Если задана MYSQL_DATABASE, пользователю будут выданы все привилегии на эту базу.
MYSQL_RANDOM_ROOT_PASSWORD — заставляет образ сгенерировать случайный пароль для root и вывести его в stdout при первом запуске.

Важно: MYSQL_RANDOM_ROOT_PASSWORD может вывести пароль в логи CI/CD — учитывайте права доступа к логам.

Пример docker-compose с инициализацией:

version: '3'
services:
  db:
    image: mysql:8.0
    environment:
      MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}
      MYSQL_DATABASE: myapp
      MYSQL_USER: myuser
      MYSQL_PASSWORD: ${MYSQL_PASSWORD}
    volumes:
      - db-data:/var/lib/mysql
volumes:
  db-data:

Seed-файлы для первого запуска

Если нужно загрузить структуру таблиц и начальные данные автоматически, положите файлы в /docker-entrypoint-initdb.d. Образ выполнит все .sh, .sql и .sql.gz файлы в алфавитном порядке.

Порядок выполнения гарантируется алфавитом. Чтобы задать порядок, используйте префиксы в именах: 1-structure.sql, 2-data.sql.

Примеры способов доставить seed-файлы:

Собрать свой Dockerfile на базе mysql и COPY файлов в /docker-entrypoint-initdb.d.
Смонтировать директорию с файлами как bind mount в /docker-entrypoint-initdb.d.

Важно: инициализационные скрипты выполняются только если директория данных пуста. Удаление содержимого тома вызовет повторную инициализацию.

Настройка конфигурации сервера

Файлы конфигурации MySQL загружаются из /etc/mysql/conf.d. Добавляйте .cnf файлы через Dockerfile или bind mount:

Пример передачи флага через docker run:

docker run --name my-mysql -e MYSQL_ROOT_PASSWORD=secret -d mysql:latest --general-log=on

Флаги, указанные после имени образа, передаются бинарнику mysql (entrypoint). Для длительных и версионируемых изменений предпочтительны config-файлы в conf.d.

Безопасность и управляемость

Important: контейнеры не защищают ваши данные по умолчанию. Вот базовый список мер безопасности:

Используйте непубличные пароли и хранилище секретов (Docker secrets, HashiCorp Vault, облачные KMS).
Ограничьте проброс портов — публикуйте 3306 только если это необходимо.
Применяйте сетевые политики: используйте отдельные сети для сервисов и БД.
Регулярно делайте бэкапы томов; проверяйте восстановление.
Обновляйте образ и следите за CVE для MySQL и базового дистрибутива.
Настройте мониторинг (метрики, оповещения) для ключевых SLI: доступность, время ответа, свободное место на диске.

Короткая процедура бэкапа:

Для быстрого экспорта: используйте mysqldump с docker exec.
Для большего объёма рассматривайте LVM-снапшоты или решения уровня хоста.

Производительность и режимы хранения данных

Выбор между bind mount и Docker volume влияет на переносимость и производительность:

Docker volumes — рекомендованы для продакшна, их проще переносить и они оптимизированы.
Bind mounts удобны для разработки и отладки, когда нужно быстро менять init-скрипты.

Настройки, которые обычно стоит настроить:

innodb_buffer_pool_size — для InnoDB критично для размера данных.
innodb_flush_method — настройка ввода-вывода для SSD.
max_connections — ориентируйтесь на нагрузки приложения.

Не забывайте проверять дисковые и дескрипторные лимиты контейнера и хоста.

Отказоустойчивость и миграции

Контейнеры упрощают горизонтальное масштабирование приложений, но для MySQL необходимо думать про репликацию и отказоустойчивость:

Для чтения в нагрузке используйте реплики (read replicas).
Для высокой доступности применяйте группы репликации или сторонние решения (ProxySQL, Orchestrator).
Для миграций схемы используйте миграционные инструменты (Flyway, Liquibase) и прогоняйте миграции в CI.

Чеклисты по ролям

Разработчик:

Создан docker-compose с томом данных
Добавлены init-скрипты в /docker-entrypoint-initdb.d
Проверен импорт дампов и работа приложения локально

Операционный инженер:

Конфигурация конфигов в conf.d в контроле версий
Настроено безопасное хранение паролей
План бэкапа и восстановления задокументирован
Мониторинг и алерты настроены

DBA:

Проверка оптимальности innodb_buffer_pool_size
Настройка репликации и плана восстановления
Тесты нагрузки и план масштабирования

Шаблоны и сниппеты

Dockerfile с seed-файлами:

FROM mysql:8.0
COPY ./initdb /docker-entrypoint-initdb.d

Пример mysqldump из контейнера:

docker exec my-mysql sh -c 'exec mysqldump --all-databases -uroot -p"${MYSQL_ROOT_PASSWORD}"' > dump.sql

Пример восстановления из дампа:

cat dump.sql | docker exec -i my-mysql mysql -uroot -p"secret"

Чек-лист для CI (минимум):

Собрать окружение с docker-compose
Применить миграции
Запустить тесты интеграции
Удалить окружение

Отладка и распространённые ошибки

Контейнер не инициализируется — проверьте логи (docker logs my-mysql) на ошибки инициализации.
Проблемы с правами тома — убедитесь, что владелец и права доступа корректны.
Пароль root не задан — MYSQL_ROOT_PASSWORD обязателен, иначе контейнер остановится.
Скрипты в /docker-entrypoint-initdb.d не выполняются — это случится только при пустом каталоге данных.

Примеры команд для диагностики:

docker inspect my-mysql
docker logs my-mysql --tail 200
docker exec -it my-mysql bash

Ментальные модели и эвристики

“Том = доверенный источник данных”: данные всегда храните в томе, а не в контейнере.
“Инициализация только на пустой базе”: seed выполняется один раз — планируйте миграции отдельно.
“Небольшие контейнеры, централизованные секреты”: держите данные доступа вне репозитория.

Кому это не подойдёт

Большие кластеры с высокими требованиями к отказоустойчивости и латентности: используйте специализированные решения или управляемые сервисы.
Системы с требованиями к шифрованию на уровне устройства хранения должны решаться на уровне хоста/облака.

Пример деревa решений (Mermaid)

flowchart TD
  A[Нужна БД для разработки?] -->|Да| B[Используйте MySQL в Docker]
  A -->|Нет| C[Рассмотрите продакшн решения]
  B --> D{Нужна персистентность}
  D -->|Да| E[Монтируйте том /var/lib/mysql]
  D -->|Нет| F[Только временная среда]
  E --> G{Нужны seed файлы}
  G -->|Да| H[Поместите в /docker-entrypoint-initdb.d]
  G -->|Нет| I[Создавайте БД вручную]

Критерии приёмки

Контейнер стартует и пишет в логи строку “ready for connections”.
Данные сохраняются после остановки и перезапуска контейнера.
При первом развёртывании выполняются init-скрипты и создаются указанные базы/пользователи.
Доступ к порту 3306 ограничен в соответствии с политиками безопасности.

Риск-матрица и смягчения

Потеря данных: отсутствие бэкапов. Смягчение — регулярные бэкапы и тесты восстановления.
Утечка секретов: хранение паролей в открытом виде. Смягчение — использовать secrets/KMS.
Перегрузка: неправильные параметры innodb. Смягчение — мониторинг и тестирование нагрузки.

Заключение

MySQL в Docker — удобный и повторяемый способ запускать базы для разработки и лёгкого продакшна. Используйте docker-compose, тома данных, init-скрипты и конфиги в conf.d. Обязательно продумайте безопасность, резервное копирование и мониторинг.

Important: для критичных нагрузок рассмотрите репликацию и решения для высокой доступности.

Краткое резюме:

Официальный образ MySQL быстро развёртывается и поддерживает автоматическую инициализацию.
Храните данные в томах и секреы вне репозитория.
Используйте docker-compose для удобства и воспроизводимости окружения.

Примечание: применяйте миграции и бэкапы как неотъемлемую часть жизненного цикла базы.