Docker MCP Gatewayとは？
Docker MCP Gateway は、CLI プラグイン docker mcp と Docker Desktop の MCP Toolkit を支えるオープンソースのコードです。コンテナを管理するための MCP サーバーではありません。Claude Desktop、Claude Code、Cursor、VS Code などの MCP クライアントと多数の MCP サーバーの間に入るプロキシで、あるサーバーのツールが呼ばれるとそのサーバーを専用の Docker コンテナで起動し、そのサーバーのシークレットや OAuth トークンを注入し、すべてを stdio、SSE、Streamable HTTP のいずれかで一つのエンドポイントとして公開します。サーバーは Docker の MCP Catalog(Docker のドキュメントによれば 300+ サーバー)、任意の OCI イメージ、公式 MCP レジストリ、ローカルの YAML ファイルから取り込み、プロファイルにまとめてレジストリに push し共有できます。
そのため、mcp-server-docker(当サイトでは docker として掲載)とは別物です。こちらはエージェントに Docker デーモン上のコンテナを作成、実行、削除するツールを渡すコミュニティ製サーバーです。ゲートウェイはデーモンを使ってツールサーバーを隔離して動かすもので、モデル自身に汎用のコンテナ管理ツールは渡しません。
リポジトリは MIT ライセンスで Go で書かれ、GitHub のスターは約 1,630、フォークは 293 です。リリースは頻繁で、2026年10月21日の v0.44.2 に続き、10月26日に v0.44.3 が出ました。Docker Desktop に同梱されており、Docker のドキュメントは Desktop なしで Docker Engine に手動で入れる方法も説明しています。
Docker MCP Gatewayのインストール方法
docker mcp gateway run (bundled with Docker Desktop; on Docker Engine, install the docker-mcp binary from GitHub releases into ~/.docker/cli-plugins)Docker MCP Gatewayは使う価値があるか？
最大の価値は封じ込めです。各サーバーは既定で専用コンテナで動き、1 CPU と 2 GB のメモリ、no-new-privileges が適用され、ホストの環境変数は渡されず、マウントを許可しない限りホストのファイルシステムにも触れません。マウントは既定で読み取り専用で、許可リストのパス配下でなければなりません。シークレットは宣言したサーバーだけに渡り、既定で有効な --block-secrets がツールの引数と応答からシークレットらしい値を検査します。Docker はカタログのローカルサーバーを自らビルドして署名し、それぞれに SBOM を公開しています。mcp/ 名前空間のイメージでは署名検証が既定で有効です。呼び出しログも既定で有効で、記録するのはツール名と引数の 形であり、値そのものは記録しません。
こうした既定値は最初からあったわけではありません。リポジトリはこれまでに 10 件のセキュリティアドバイザリを公開しています。2026年7月だけで、コンテナモードでプロキシされたツールに認証なしでアクセスできる問題と、動的ツール経由の未検証のバインドマウントという 2 件の critical を公表し、さらに署名検証が既定で無効だったという high の指摘もありました。いずれも 0.43.1 で修正されています。HTTP トランスポートの DNS リバインディングの欠陥は 2025年12月の v0.28.0 で、直近の 2 件(いずれも medium)は 0.44.1 で修正されました。この記録は、監査を受けて素早く対応するプロジェクトであることを示すと同時に、古いバージョンに固定することが実際のリスクであることも意味します。
設計上残る露出もあります。サーバーが制限を宣言するか --block-network で起動しない限り、外向きの通信は開いたままです。またセキュリティ文書は、ゲートウェイの境界を破らない限り、プロンプトインジェクションや汚染されたツール説明を対象外としています。Toolkit で既定で有効な Dynamic MCP は、エージェントに mcp-find と mcp-add を与え、セッションの途中でカタログからサーバーを追加させます。設定の手間は省けますが、モデルが自分のツール一覧を広げられることになり、docker mcp feature disable dynamic-tools で無効にできます。ツールを連結する JavaScript を書くコードモードについて、Docker はまだ信頼できないとしています。
ゲートウェイは Docker Desktop なしでも動きますが、二番手の扱いです。Docker Engine では、バイナリを自分で ~/.docker/cli-plugins に置き、Desktop が動いていないと言われたら DOCKER_MCP_IN_CONTAINER=1 を設定し、プロファイルを手動で有効にし、シークレットは Desktop のストアではなく .env ファイルに置き、OAuth を使う前に DOCKER_MCP_USE_CE=true と credential helper を用意する必要があります。すべてのサーバーはコンテナイメージでなければならず、素の npx や uvx のサーバーを動かしたいという要望は 2025年9月から未解決で、122 件ある未解決 issue の一つです。Desktop では、従業員 250 人以上または売上 1,000 万ドル以上の企業は有料シートが必要で、月 9 ドルからです。
他の選択肢と比べると、自前運用とホスト型の中間に位置します。Stacklok の ToolHive はサーバーごとにコンテナを分ける似た方式で、チームのポリシーにより重きを置いています。Composio と Pipedream はツールと OAuth をホストしてくれますが、その分サーバーがあなたのデータを見ることになります。Docker のゲートウェイはすべてを手元のマシンに留め、すでに Docker を使っている開発者にとっては、見知らぬ人が書いたサーバーを入れるリスクの大半を取り除きます。
真価を発揮する場面
同じノート PC で Claude Code と Cursor を使う開発者
GitHub、Notion、Postgres のサーバー設定を二重に書くのも、API キーを平文の JSON に置くのもやめたい
docker mcp profile create でプロファイルを作り、カタログの 3 つのサーバーを追加し、キーを docker mcp secret で 保存して、クライアントごとに docker mcp client connect を実行します。二つのエディタが同じゲートウェイを呼ぶようになり、キーはどちらの設定ファイルにも残りません。
従業員 40 人のソフトウェア会社のセキュリティ責任者
社員に MCP サーバーを使わせつつ、任意の npm パッケージを各自のマシンに入れさせたくない
docker mcp catalog create で承認済みサーバーの独自カタログを作り、社内レジストリに push します。社員はそれを pull し、各プロファイルのツール許可リストでエージェントが呼べるものを絞ります。この規模では、売上が 1,000 万ドル未満でない限り Desktop のシートは有料です。
Linux VM 上で社内向けエージェントサービスを作るプラットフォームエンジニア
Docker Desktop なしで、決まった MCP ツール群を HTTP でエージェントに公開したい
docker/mcp-gateway イメージを Docker Compose で動かし、Docker ソケットをマウントして、--servers で許可するサーバーを指定し、--transport streaming と MCP_GATEWAY_AUTH_TOKEN のトークンを設定します。Desktop のライセンスはかからず、シークレットは .env ファイルから読み、--block-network で外向き通信を絞れます。
導入前に確認すること
- 導入
- Docker Desktop(README は 4.59 以降を求めています)では MCP Toolkit を有効にし、カタログからサーバーを追加してクライアントを接続します。クライアント側の設定は docker mcp gateway run だけです。Docker Engine では GitHub のリリースから docker-mcp を ~/.docker/cli-plugins に置くか、/var/run/docker.sock をマウントして docker/mcp-gateway イメージを動かします。ドキュメントは Claude Desktop、Claude Code、Cursor、VS Code を扱っています。
- 連携
- ゲートウェイ自身のツールは管理用で、mcp-find、mcp-add、mcp-config-set、mcp-remove、mcp-exec と実験的な code-mode です。それ以外は有効にしたサーバーから来ます。Docker のカタログにある 300+ のサーバー、任意の OCI イメージ、MCP レジストリが対象で、--tools とプロファイルごとの許可リストで個々のツールを選べます。インターセプターで呼び出しの前後に独自スクリプトを実行できます。
- データとプライバシー
- ローカルで動きます。ゲートウェイは有効にしたサーバーとそのシークレットが届く範囲に届き、ゲートウェイ自体も Docker ソケットを必要とします。これは標準的な Linux 環境では root 相当です。Desktop 下ではゲートウェイのメトリクスが Docker の利用分析に送られ、Desktop の設定でオフにできます。Desktop がない場合、テレメトリのドキュメントは何も送信されないとしています。リモートサービスからのツール出力は、シークレット検査を除きそのままモデルに届きます。
- 大規模利用時のコスト
- ソフトウェアは無料です。Desktop のライセンスは従業員 250 人または売上 1,000 万ドルから必要で、年払いで 1 ユーザーあたり月額 Pro 9 ドル、Team 15 ドル、Business 24 ドルです。動いているサーバーは既定でそれぞれ最大 1 CPU と 2 GB を確保するため、--long-lived で 10 個を常駐させるとノート PC の資源をかなり占めます。
- 制限
- 未解決の issue が 122 件、プルリクエストが 52 件あります。コンテナを使わない npx と uvx のサーバー、環境変数からのシークレット受け渡し、既定カタログの無効化、Engine モードでの OAuth などが要望として残っています。動的ツールで追加したサーバーはそのセッション限りです。コードモードは実験的です。
良い点
- 各サーバーを CPU、メモリ、マウントの制限付きコンテナで隔離
- シークレット遮断、署名検証、HTTP の Bearer トークンが既定で有効
- Claude、Cursor、VS Code で一つのエンドポイントとプロファイルを共有
- 活発なリリースと公開されたセキュリティモデル、修正が速い
気になる点
- これまでにアドバイザリ 10 件、2026年7月には critical が 2 件
- Docker Engine での利用は手動インストールと回避策が必要
- 外向きの通信は既定で開いている
- サーバーはすべてコンテナイメージが必要で、素の npx や uvx は不可
おすすめの人
すでに Docker を使っていて、多数の MCP サーバーを自分のマシン上の隔離され記録の残る一つのエンドポイントにまとめたい開発者や小さなチームに向いています。
Docker MCP Gatewayの代替
Docker MCP Gateway：よくある質問
- Docker MCP Gatewayは使う価値があるか？
- 最新リリースを使い続け、Docker Desktop 前提の作りだと割り切れるなら、十数個のローカル MCP サーバーを、どれにもノート PC を丸ごと預けずに動かすための堅実な標準解です。 評価は5点満点中4.0点です。
- Docker MCP Gatewayの料金は？
- ゲートウェイは無料のオープンソース(MIT)です。これを MCP Toolkit として同梱する Docker Desktop は、個人利用、教育、非商用オープンソース、従業員 250 人未満かつ売上 1,000 万ドル未満の企業は無料です。それ以外は年払いで 1 ユーザーあたり月額 Pro 9 ドル、Team 15 ドル、Business 24 ドルです。Docker Engine だけで動かせば Desktop の利用条件はかかりません。
- Docker MCP Gatewayの欠点は？
- これまでにアドバイザリ 10 件、2026年7月には critical が 2 件; Docker Engine での利用は手動インストールと回避策が必要; 外向きの通信は既定で開いている; サーバーはすべてコンテナイメージが必要で、素の npx や uvx は不可.
- Docker MCP Gatewayは誰に向いているか？
- すでに Docker を使っていて、多数の MCP サーバーを自分のマシン上の隔離され記録の残る一つのエンドポイントにまとめたい開発者や小さなチームに向いています。
- チームや本番環境でDocker MCP Gatewayを使うと費用はいくらか？
- ソフトウェアは無料です。Desktop のライセンスは従業員 250 人または売上 1,000 万ドルから必要で、年払いで 1 ユーザーあたり月額 Pro 9 ドル、Team 15 ドル、Business 24 ドルです。動いているサーバーは既定でそれぞれ最大 1 CPU と 2 GB を確保するため、--long-lived で 10 個を常駐させるとノート PC の資源をかなり占めます。
- Docker MCP Gatewayは企業データを扱っても安全か？
- ローカルで動きます。ゲートウェイは有効にしたサーバーとそのシークレットが届く範囲に届き、ゲートウェイ自体も Docker ソケットを必要とします。これは標準的な Linux 環境では root 相当です。Desktop 下ではゲートウェイのメトリクスが Docker の利用分析に送られ、Desktop の設定でオフにできます。Desktop がない場合、テレメトリのドキュメントは何も送信されないとしています。リモートサービスからのツール出力は、シークレット検査を除きそのままモデルに届きます。
- Docker MCP Gatewayの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はComposio, Pipedream MCP and Connect 、 mcp-server-dockerです。
回答確認日：2026年11月11日
Docker MCP Gatewayの開発元の方へ：この評価をサイトに掲載できます
