コンテナは安全、ではない

レン

Dockerで動かしてるから、何かあってもコンテナの中だけで済むよね？

プロクラ

半分は正しいけど、半分は危ないよ。分離はされるけど、設定次第で簡単に穴が開くんだ。「Dockerを使っている＝安全」ではないと考えて。

ウィルスン

…ワタシから見れば、コンテナは壁が1枚増えただけだ。その壁に扉が付いていれば、通るだけのこと。特に、親切に権限を与えてくれている場合はな。

気をつけるところ

• コンテナ内でrootとして動かさない（専用の一般ユーザーを作る）
• 特権モードは使わない。それは分離をほぼ放棄する設定
• ホストのディレクトリを丸ごと共有しない。必要な範囲に絞り、読み取り専用にできるならそうする
• Dockerを操作する権限は、実質的にサーバー全体の管理権限に等しいと考える
• ポートの公開は必要最小限に。うっかり全体へ公開しないよう指定を確認する

イメージ（ひな形）にも注意

プロクラ

公開されているイメージをそのまま使うときは、誰が作ったものか確認しよう。中身が見えないまま実行するのは、正体不明のプログラムを動かすのと同じことだからね。公式のものや、自分で作ったものを使うのが安心だよ。

• ベースイメージは定期的に更新する（中のOSにも脆弱性が見つかる）
• イメージに認証情報を焼き込まない（イメージを見れば読めてしまう）
• 必要なものだけを含む軽いイメージにすると、攻撃面も小さくなる

レン

コンテナの中も、普通のサーバーと同じように気をつけるんだね。

プロクラ

そのとおり。コンテナは「便利に分ける道具」であって「守ってくれる道具」ではないんだ。中で動くものへの注意は、これまでと変わらないよ。