Dockerでコンテナを実行する際はコンテナイメージを利用します。このコンテナイメージを作成する際は、「Dockerfile」というテキストファイルにコンテナイメージの作成方法を記述します。Dockerfileはいわばコンテナイメージの“設計書”です。

　下記にDockerfileの例を示しました。Linuxディストリビューション（配布パッケージ）の一つである「CentOS」のコンテナイメージを基にして、サーバでJavaScriptを動かすためのランタイム「Node.js」をインストールし、Node.js向けのアプリケーションを基のコンテナイメージ内にコピーするという内容を記述しています。

Dockerfileの例

　このようなDockerfileを用意して、コンテナイメージを作成するコマンド「docker build」を実行します。これによってアプリケーションを動かすための実行環境とアプリケーションを含むコンテナイメージを作成します。実行環境は、使用するOSやフレームワーク（特定の設計思想に基づくライブラリなどのソフトウェアやテンプレート、ドキュメントの集合体）などで構成されます。DockerがこのコンテナイメージをホストOS（コンテナを稼働させるホストサーバのOS）内に保存したら、管理者は実行のコマンド「docker run」によりコンテナを起動できるようになります。

　コンテナイメージを格納・共有するには「レジストリ」を利用します。レジストリはネットワークを介してアクセス可能なコンテナイメージの格納場所です。作成したコンテナイメージをレジストリにアップロードしておけば、異なるホストOSからでもレジストリにあるコンテナイメージを指定するだけでコンテナを起動させることができます。

　Dockerのコンテナイメージからコンテナを起動すると、ホストOSが持つ複数のコンテナ機能を組み合わせて、各コンテナ専用にコンピューティング、ストレージ、ネットワークなどのリソースが構成されます。こうしてアプリケーション独自の実行環境が出来上がります。コンテナはホストOSの一つのプロセスとして動作しますが、コンテナ内のアプリケーションにとっては独立したOS内で稼働しているように見えます。

図　コンテナネットワークの例（「eth0」はホストサーバのネットワークインタフェース）《クリックで拡大》

Dockerが実現するコンテナネットワーク

　前述の通り、各コンテナは専用のネットワークを持ちます。コンテナ内で起動する一般的なアプリケーションは、他のコンテナやコンテナの外部と通信することで初めてその役割を果たします。そのため管理者はコンテナのネットワークを理解しておくことが重要です。Dockerで利用可能なコンテナネットワークは幾つかの種類があります。本稿は一般的なDockerのコンテナネットワークに関して、その機能に少し踏み込んで説明します。

　Dockerの各コンテナはそれぞれ「veth」という仮想的なネットワークインタフェース（仮想NIC）を持ちます。vethはルーティングテーブル（経路情報）やネットワークインタフェースを分離させる「ネットワーク名前空間」という仕組みによって隔離されます（図）。アプリケーションはネットワーク名前空間によって分離された個々のコンテナ内で起動します。

　各コンテナのvethにはそれぞれIPアドレスが割り当てられ、ホストOS内に作成される仮想スイッチと接続します。非コンテナ環境では同じポート番号を利用する複数のアプリケーションを同時に起動することはできません。これに対してコンテナであれば各コンテナのvethが個々に独立しているため、図のように例えば80番ポートで応答するアプリケーションを同時に複数起動することも可能です。

　図の（1）で示すように、コンテナ同士は仮想スイッチを介して直接相互に通信することが可能です。図の（2）と（3）で示すように、コンテナ内外との通信にはホストOSのNAPT（Network Address Port Translation：ポート番号とIPアドレスを変換する仕組み）機能を利用し、外部のネットワークに接続したり、コンテナで起動するアプリケーションを外部のネットワークに公開したりします。

　第3回は、コンテナ運用における課題や「Kubernetes」をはじめとしたコンテナオーケストレーションツールについて紹介します。