コンテナセキュリティ コンテナ化されたアプリケーションを保護する要素技術(コンテナセキュリティ　コンテカサレタアプリケーションヲホゴスルヨウソギジュツ)

コンテナセキュリティのスペシャリストが執筆した解説書。コンテナのセキュリティの要素技術を学ぶことができる。コンテナの仕組みと危険性・脆弱性 (開発時に注意すべき箇所) 、その対策方法がわかる。

コンテナを「便利な仮想化」程度に理解したまま本番運用に臨むと、攻撃面がどこにあるのか分からないまま防御を組むことになります。 Liz Rice による本書は、コンテナを構成する Linux の要素技術 (namespace 、 cgroup 、 capability 、 seccomp) を一つずつ解体し、そこから立ち上がる脅威モデルとその緩和策を体系的に示す一冊です。

構成は、まず Linux カーネルの隔離機構をコードレベルで追い、次にコンテナイメージのサプライチェーン (ビルド時の脆弱性混入、レジストリの署名検証) 、そしてオーケストレーター (Kubernetes) 上でのネットワークポリシーやアドミッションコントロールへと段階を上げていきます。各章が「なぜそのセキュリティ機構が必要なのか」を Linux の仕組みから説明するため、ツールの設定手順だけを暗記する読み方にならず、原理的な判断力が身につきます。

対象読者はコンテナの基本操作ができるインフラエンジニアやセキュリティ担当者で、 Docker の使い方は知っているが「なぜ root で動かすと危険なのか」を仕組みから説明できない人に特に噛み合います。薄めの書籍ですが密度が高く、現場で迷ったときに立ち返れるリファレンスとして長く手元に置ける類の本です。