Docker

304

13 章　セキュリティとコンテナに対する制限

単純な事実として、

Docker

と、

Docker

が依存している

Linux

のカーネルの機能はまだ若く、

相当する

VM

の技術に比べれば、まだ現場で鍛え上げられたとはとても言えません。少なくとも

当面の間、

VM

が保障するのと同等のレベルのセキュリティをコンテナが提供することはできま

せん

†

。

13.2

　防御の詳細

それでは、どういった対処ができるのでしょうか？

脆弱性を仮定して、多重防御を構築しましょ

う。比喩として、複数の防御層を持ち、さまざまな種類の攻撃に対処できるように作られた城郭を

考えてみましょう。通常の場合、城郭は堀を使ったり、地形を利用したりして、城にいたる道筋を

制御します。壁は厚い石であり、炎や大砲を寄せ付けないように設計されています。城壁内には、

防御兵のための胸壁や、複数レベルの門楼閣があります。防御の一段階を攻撃者が突破しても、次

の段階が待ち受けているわけです。

同様に、システムの防御も複数のレイヤで構築しなければなりません。例えば、多くの場合コン

テナは

VM

内で動作するので、コンテナの防御が破られた場合でも、他のレベルの防御によって、

攻撃者がホストや、他のユーザーのコンテナに入り込めないようにできます。モニタリングシステ

ムを配置して、異常な振る舞いがあった場合には管理者に警告させるべきです。ファイアウォール

でコンテナへのネットワークアクセスを制約し、外部から攻撃を受ける部分を制限しましょう。

13.2.1

　最小限の権限

堅持すべき、もう ...