TechTargetジャパン
仮想化
サーバ仮想化
技術解説
「Dockerを使わない理由」はもうない？　コンテナのセキュリティ技術が充実へ

進化を遂げるコンテナのセキュリティ技術

「Dockerを使わない理由」はもうない？　コンテナのセキュリティ技術が充実へ

ハイパーバイザーと比べて利点が多いコンテナだが、セキュリティについて不安の声があることも事実だ。昨今、その課題解消に向けた動きが活発化し始めた。

公開 2016年05月04日 07時00分

更新 2016年05月05日 09時49分

著者

Jim O'Reilly

[TechTarget]

印刷する Googleで優先するソースとして追加

昨今の“コンテナブーム”の火付け役であるDocker（画面はDocker公式サイト）《クリックで拡大》

　サーバ仮想化を実現する標準的な手段であるハイパーバイザー。そのアーキテクチャには基本的な欠点があることは、何年も前からよく知られている事実だ。

　ハイパーバイザーによるサーバ仮想化では、各仮想マシン（VM）で任意のゲストOSを実行できる。これは同一の物理サーバ内に「Windows」を稼働するVMと「Linux」を稼働するVMが共存できることを意味する。

　ただし、クラウドサービス事業者レベルのインフラ規模では、特定の物理サーバで複数のゲストOSを稼働する必要性はそれほどない。VMの数がそこまで多くなると、ゲストOSの種類が多くても柔軟性が向上するわけではないからだ。またハイパーバイザーによる仮想環境では、特定の物理サーバに何百ものゲストOSのコピーが存在し、大量のメモリが消費されてしまう可能性がある。

併せて読みたいお勧め記事

コンテナ復権の立役者「Docker」とは何か

Dockerのセキュリティ対策

「コンテナ」への期待と不安

　「1つのOSを共有する」という考え方が市場に浸透するまで、しばらく時間がかかった。この手段が「コンテナ」だ。コンテナは、ホストとなる物理サーバとOSのカーネルを共有する。その結果として物理サーバのDRAM使用量を節約でき、1台の物理サーバで多くのコンテナを稼働できるようになる。多くの場合、その数はハイパーバイザーのVM数の3～5倍に達する。

　ただしコンテナでは、Intelがハイパーバイザー用にハードウェアに組み込んでいる保護機能を使用することができない。

　マルチテナントでは、インスタンスが他のインスタンスのメモリ領域を侵害しないようにするための障壁が必要だ。具体的には各VMが利用するメモリ領域を論理的に分割し、1台のVMがセキュリティ侵害の被害にあった場合に、同じ物理サーバで稼働する他のVMに危険が及ばないようにする。この機能がハイパーバイザーベースのシステムで利用できなかったら、クラウドが現在の規模にまで成長することはなかっただろう。

　Intelはハードウェアによる支援機能を提供することで、同社のプロセッサにおけるマルチテナントを強固なものにしている。残念ながらコンテナへ移行すると、これらの機能は使用できなくなる。つまりコンテナはゲートウェイセキュリティ対策を越えてくる攻撃に対して無防備な状態になるというわけだ。

コンテナとハイパーバイザーの併用

　オープンソースのクライアント／サーバ型コンテナ管理ソフトウェア「Docker」では、Dockerサーバ（デーモン）をシステム管理者権限であるrootとして実行する必要がある。その設定を変更するには、Dockerに大幅な修正を加えなければならない。例えば信頼するユーザーだけにデーモンの制御を可能にする、VM内でコンテナを実行する、などだ。

　具体的な手段も登場し始めている。Dockerに最近追加されたユーザー名前空間の機能を使用すると、IT担当者はコンテナのアクセス権とデーモンのアクセス権を分離できるようになる。コンテナから物理サーバのroot権限を取得されてしまうのを防ぐことができる。またIntelが2015年5月に投入した「Clear Containers」は、コンテナの稼働を目的としたハイパーバイザーだ。1コンテナ当たりのオーバーヘッドメモリ（稼働に必要なメモリ）はわずか10～20MBで、OSを複数実行することによる容量的な負担が軽減できる。

　プログラムの本体やOS／ネットワークの設定情報をまとめたテンプレートである「Dockerイメージ」は、root権限で稼働するデーモンが処理する。ここに攻撃の機会が生じる。

　Dockerに最近追加された「Docker Content Trust」は、ツールを使用してDockerイメージの正当性を保証する機能だ。Docker Content Trustは、Dockerイメージに署名をして検証できるようにする。OSSのDockerイメージ検証ツール「Notary」を使用し、Dockerイメージの内容と発行元を確認する。

　またDockerは、独立系ソフトウェアベンダーが安全なDockerイメージをユーザーに提供するための公式リポジトリ「Docker Hub」も用意する。Docker Hubに登録されたDockerイメージは十分な実証がなされ、セキュリティの観点からその特性が説明されている。これらの改善により、コンテナがハイパーバイザー並みに安全になるのが理想的だ。

コンテナセキュリティの未来

　コンテナは非常に新しく、発展途上の技術である。時間が経過してみないと本当の実力は分からないものの、コンテナにはメリットがあることは確かであり、将来性が見込まれる。

　コンテナは、従来の手段と比べてソフトウェアを適切かつ迅速に更新することが可能だ。更新結果も簡単にテストできるので、コードの脆弱（ぜいじゃく）性を悪用する攻撃を防ぎやすくなる。またコンテナが互いに分離しており、攻撃対象の範囲を大幅に縮小できる。

　DockerイメージをはじめとするDocker関連のデータには、可能な限り読み取り専用のファイルシステムを使用するのが得策だろう。Dockerイメージに対してより厳しい制御が可能になるからだ。

　コンテナのセキュリティは、基盤となるコンテナ技術そのものと共に引き続き発展するだろう。Clear Containersをはじめとするハイパーバイザーベースのコンテナ環境は、標準的なハイパーバイザーベースの仮想環境と同じくらい堅牢になり、より優れたセキュリティ制御を享受できる可能性がある。

印刷する

この記事の著者

Jim O'Reilly

ITベンダーGermane Systems（Mercury Systemsが買収）のエンジニアリング担当バイスプレジデントを務め、米国海軍向けのサーバとストレージ開発を率いた。IT分野のスタートアップの経営に携わる他、クラウドコンピューティングのコンサルタントとして活躍した経験も持つ。

「Dockerを使わない理由」はもうない？　コンテナのセキュリティ技術が充実へ

併せて読みたいお勧め記事

コンテナ復権の立役者「Docker」とは何か

Dockerのセキュリティ対策

「コンテナ」への期待と不安

コンテナとハイパーバイザーの併用

コンテナセキュリティの未来

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「Dockerを使わない理由」はもうない？ コンテナのセキュリティ技術が充実へ

併せて読みたいお勧め記事

コンテナ復権の立役者「Docker」とは何か

Dockerのセキュリティ対策

「コンテナ」への期待と不安

コンテナとハイパーバイザーの併用

コンテナセキュリティの未来

この記事の著者

関連記事

1回で分かる：仮想化とは違うコンテナ技術「Docker」って何？

進撃の「Docker」はPaaSプロバイダーをなぎ倒すのか

「Docker」中心に意地の張り合い、AWSとGoogleの“負けられない戦い”

「Docker」のセキュリティはどうか？ 押さえておきたい脆弱性情報

運用管理機能を強化した「Docker」、IT部門のお墨付きを得られるか？

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

「Dockerを使わない理由」はもうない？　コンテナのセキュリティ技術が充実へ

「Docker」のセキュリティはどうか？　押さえておきたい脆弱性情報