Volumes Docker : conserver les données

Un volume Docker est un espace de stockage géré par Docker, monté dans un conteneur, qui survit à la suppression du conteneur : c'est là que vont les données qui doivent durer, comme les fichiers d'une base de données. Ce chapitre compare les trois façons de monter du stockage (volume nommé, montage de dossier et tmpfs), installe une base MySQL persistante, explique les pièges de permissions et montre comment sauvegarder et restaurer un volume.

Pourquoi les données disparaissent

Tout ce qu'un conteneur écrit hors d'un montage va dans sa couche inscriptible, qui est supprimée avec lui. Lance une base sans volume, crée une table, supprime et recrée le conteneur : la table a disparu. Or on supprime et recrée les conteneurs en permanence : à chaque mise à jour d'image, à chaque changement de configuration.

La règle : un conteneur doit pouvoir être détruit à tout moment sans perte. Les données qui comptent vivent dans un volume ; tout le reste est reconstructible à partir de l'image.

Trois façons de monter du stockage

Deux syntaxes existent pour docker run : la courte, -v, et la longue, --mount, plus lisible et plus stricte.

# Volume nommé
docker run -d --name bdd -v mysql-donnees:/var/lib/mysql mysql:8.4
docker run -d --name bdd --mount type=volume,source=mysql-donnees,target=/var/lib/mysql mysql:8.4

# Montage d'un fichier en lecture seule
docker run -d -v /srv/gestion/Caddyfile:/etc/caddy/Caddyfile:ro caddy:2.11
docker run -d --mount type=bind,source=/srv/gestion/Caddyfile,target=/etc/caddy/Caddyfile,readonly caddy:2.11

# tmpfs
docker run -d --mount type=tmpfs,target=/tmp nginx:1.30-alpine

Avec -v, Docker décide seul : si la partie gauche est un nom, c'est un volume ; si c'est un chemin absolu, c'est un montage de dossier, et si le dossier n'existe pas, Docker le crée vide, ce qui masque souvent une faute de frappe. --mount type=bind refuse un chemin qui n'existe pas : l'erreur saute aux yeux.

Gérer les volumes nommés

docker volume create mysql-donnees
docker volume ls
docker volume inspect mysql-donnees
docker volume rm mysql-donnees      # refusé si un conteneur l'utilise

[
    {
        "CreatedAt": "2026-11-03T10:02:41+01:00",
        "Driver": "local",
        "Labels": null,
        "Mountpoint": "/var/lib/docker/volumes/mysql-donnees/_data",
        "Name": "mysql-donnees",
        "Options": null,
        "Scope": "local"
    }
]

Un volume monté pour la première fois sur un dossier qui contient déjà des fichiers dans l'image reçoit une copie de ces fichiers. Un montage de dossier, lui, masque le contenu de l'image à cet endroit.

Une base MySQL persistante

docker volume create gestion-mysql
docker run -d --name gestion-bdd \
  --restart unless-stopped \
  -e MYSQL_ROOT_PASSWORD='Test-Labo-2026!' \
  -e MYSQL_DATABASE=frais \
  -v gestion-mysql:/var/lib/mysql \
  mysql:8.4

Au premier démarrage, l'image initialise la base dans le volume vide et crée la base frais. Supprime le conteneur (docker rm -f gestion-bdd) et relance la même commande : MySQL retrouve ses fichiers dans le volume, les données sont intactes, et les variables d'initialisation sont ignorées puisque la base existe déjà.

Chaque image range ses données à un endroit précis, à lire dans sa documentation sur Docker Hub :

Monter un dossier : configuration et développement

Le montage de dossier sert surtout à deux choses.

Fournir un fichier de configuration sans reconstruire l'image, en lecture seule :

docker run -d --name proxy \
  -v /srv/gestion/Caddyfile:/etc/caddy/Caddyfile:ro \
  caddy:2.11

Développer : le code de ton poste est monté dans le conteneur, et chaque modification est visible tout de suite, sans reconstruire l'image. C'est pratique en développement, à proscrire en production, où le code doit être dans l'image, testée et versionnée.

Le piège des permissions. Un montage de dossier garde les propriétaires numériques de l'hôte. Si le processus du conteneur tourne sous l'UID 1000 et que le dossier de l'hôte appartient à root, l'application reçoit EACCES: permission denied. Corrige le propriétaire du dossier côté hôte (sudo chown -R 1000:1000 /srv/gestion/stockage), plutôt que de faire tourner le conteneur en root.

Sauvegarder et restaurer

Pour une base de données, fais un export logique, cohérent même si la base travaille pendant la sauvegarde. Le client de l'image fait le travail ; la redirection écrit le fichier sur l'hôte :

docker exec gestion-bdd sh -c 'exec mysqldump --single-transaction --databases frais -uroot -p"$MYSQL_ROOT_PASSWORD"' \
  > /srv/sauvegardes/frais-$(date +%F).sql

La restauration envoie le fichier au client mysql du conteneur :

docker exec -i gestion-bdd sh -c 'exec mysql -uroot -p"$MYSQL_ROOT_PASSWORD"' \
  < /srv/sauvegardes/frais-2026-11-03.sql

Les options de mysqldump sont détaillées dans le chapitre Sauvegarder une base.

Pour des fichiers ordinaires (documents déposés, configuration), archive le volume avec un conteneur jetable qui le monte en lecture seule :

docker run --rm \
  -v gestion-fichiers:/source:ro \
  -v /srv/sauvegardes:/sauvegarde \
  alpine:3.24 tar -czf /sauvegarde/fichiers-$(date +%F).tar.gz -C /source .

Et pour restaurer dans un volume vide :

docker run --rm \
  -v gestion-fichiers:/cible \
  -v /srv/sauvegardes:/sauvegarde:ro \
  alpine:3.24 tar -xzf /sauvegarde/fichiers-2026-11-03.tar.gz -C /cible

Des volumes sur le stockage de l'entreprise

Le pilote local peut aussi monter un partage réseau NFS ou SMB comme volume : les données sont alors sur le NAS de l'entreprise, sauvegardées et protégées par ses instantanés, et le conteneur peut redémarrer sur un autre hôte. C'est utile pour des fichiers ; pour une base de données, un disque local (ou un disque iSCSI) reste préférable, car les bases supportent mal les latences et les verrous des partages réseau. Le stockage en réseau, NFS, SMB et iSCSI, est traité côté serveur dans le cours Stockage et NAS avec TrueNAS, et l'instantané de la VM entière dans le cours Virtualisation.

Exercices

docker run --rm \
  -v wiki-donnees:/source:ro \
  -v /srv/sauvegardes:/sauvegarde \
  alpine:3.24 tar -czf /sauvegarde/wiki-$(date +%F).tar.gz -C /source .