【入門】コンテナの隔離の仕組み。Linuxのnamespace、cgroups、ケーパビリティ、seccomp。

コンテナの深掘りは勉強になります。

チャンネル登録者が13万人を超えました！！改めてありがとうございます。しかしまだ未登録の方が71%おられます。ぜひチャンネル登録をお願い致します！

メンバーシップの登録はこちら。
https://www.youtube.com/channel/UCtiDTuG40ZOarubtFm1fbzg/join

====
目次
====
0:00 イントロ
0:38 第1章 コンテナはただのプロセス
2:17 第2章 名前空間とマウント
4:36 第3章 PIDの名前空間
5:43 第4章 ネットワークの名前空間
6:55 第5章 ユーザーの名前空間
8:00 第6章 ケーパビリティ
10:27 第7章 cgroups
11:28 第8章 AppArmorとSELinux
12:46 第9章 seccomp
14:40 まとめ


【PR】ITエンジニア特化の転職エージェント「テックゴー」
https://h.accesstrade.net/sp/cc?rk=0100q5og00osn8

====
note
====
海外ソフトウェアエンジニアリング事例を発信
https://note.com/naoya_tech

====
SNS
====

●X
https://x.com/naoyashiga

●Instagram
https://www.instagram.com/naoya_tech/

●Threads
https://www.threads.com/@naoya_tech

●直也テック TikTok
https://www.tiktok.com/@coding_youtuber

====
低レイヤー自作を行う学習教材
====
バックエンドや要素技術を自作して学びたい方はCodeCraftersがおすすめです。


👇このリンクから登録すると40%OFFになります。
https://app.codecrafters.io/join?via=naoyashiga

------------

●お仕事のご依頼はこちらから
https://www.naoya-tech.com


●BGM素材
BGMer
http://bgmer.net

OtoLogic

■この動画で分かること
・コンテナがホストの ps に普通のプロセスとして出てくることと、/proc/PID/root からコンテナのファイルを読めること（Mac や Windows の Docker Desktop では仮想マシンの中で動くこと）
・Linux の名前空間8種類のうち、Docker が最初から分ける6つ（mnt / pid / net / ipc / uts / cgroup）と、lsns での見え方
・マウントの名前空間と overlay の層、全部のコンテナの中身が入っている /var/lib/docker
・PID の名前空間で、同じプロセスが外では 2973 番、中では 1 番になる仕組みと、unshare や --pid=container: での使い方
・ネットワークの名前空間に nsenter で入り、イメージに無い ip コマンドをホストから持ち込んで調べる方法と、--network=container: や kubectl debug
・ユーザーの名前空間と userns-remap で、中の root をホストの UID 100000 に付け替える仕組みと、その注意点
・root の権限を41種類に分けたケーパビリティ、Docker の既定の14個、--cap-drop で net_raw と net_bind_service を外せる理由
・cgroups の --cpus と --pids-limit で、うるさい隣人やフォーク爆弾を抑える方法
・AppArmor の docker-default と自作のプロファイルで、root でも /etc に書けなくする例
・seccomp でシステムコールを選ぶ仕組み、Docker の既定のプロファイル、Kubernetes では標準で外れているので RuntimeDefault を指定すること
・この技術に関わった人たち（ソロモン・ハイクス、エリック・ビーダーマン、マイケル・ケリスク、クリスピン・コーワン、スティーブン・スモーリー、アンドレア・アルカンジェリ、キース・クック、ジェシー・フラゼル）

#コンテナ #コンテナセキュリティ #Docker #Linux #名前空間 #cgroups #seccomp #AppArmor #SELinux #セキュリティ #コンピュータサイエンス #プログラミング