コンテナセキュリティの基礎：はじめに

コンテナセキュリティとは何か

コンテナの導入は加速し続けています。その傾向は、ITのほぼ全領域に及ぶ影響分野の調査でも確認されています。オンプレミスとクラウドの両方で、企業のワークロードに占めるコンテナ化されたワークロードの割合が今後も拡大していくことに疑いの余地はありません。

本番環境でコンテナを使用している組織のほぼすべて（94%）が、コンテナセキュリティについてある程度または非常に懸念しています。Tripwireの「State of Container Security 2019」によると、半数を超える組織（60%）が過去12か月間にコンテナセキュリティインシデントを経験しています。また、回答者の半数以上（54%）が、最大のセキュリティ上の懸念として「チーム内のコンテナセキュリティに関する知識不足」を挙げています。

これは、コンテナ化が単なるパッケージ形式ではないためと考えられます。コンテナだけでは、組織にとってほとんどメリットがありません。コンテナの強みは、オーケストレーションシステムを使用してデプロイおよび管理できる点にあります。そのため、コンテナは数十年前から存在していたものの、オーケストレーション製品が登場するまで本格的には普及しませんでした。

自動化されたデリバリーおよびデプロイメントパイプラインを活用して迅速化を促進するアジャイルやDevOpsなどのアプローチと、コンテナおよびオーケストレーションとの親和性が高いことが明らかになると、導入が加速しました。

したがって、コンテナにワークロードをデプロイする場合、デリバリー（CI/CD）パイプラインの一部であるオーケストレーションシステムもデプロイしていると考えるのが妥当です。

したがって、コンテナセキュリティを検討する際には、パイプライン、オーケストレーション、ワークロードという3つの個別システムを考慮する必要があります。

コンテナのセキュリティ戦略にも、この3つすべてを含める必要があります。いずれか1つでも評価しないままにすると、さまざまなリスクにさらされます。その多くは、望ましくないリストに名を連ねる事態や、さらに悪いことには、目にしたくない見出しで報じられる事態につながりかねません。そのため、各チームが必要かつ適切なセキュリティ知識を備えていることを組織が確認するのは、より困難になります。

そこで、効果的なコンテナセキュリティ戦略を策定できるよう、基本を理解するためのブログシリーズを、プラットフォームセキュリティ担当シニアテストエンジニアのJordan Zeborと共同でお届けします。このシリーズでは、コンテナセキュリティを構成する次の3つの要素をそれぞれ詳しく掘り下げます。

1. パイプラインセキュリティ
   パイプラインとは、コンテナ化されたワークロードをオーケストレーションシステムに自動でデリバリーするために使用する一連のツールです。カスタムPythonスクリプト、Jenkins、GitHub、GitLabなどが含まれる場合があります。
   
   
2. オーケストレーションのセキュリティ
   オーケストレーションシステムは、ワークロードの管理とスケーリングに使用されます。多くの場合はKubernetesですが、RedHat OpenShift、AWS、Azure、Google、MesosなどのKubernetesベースのシステムや、まれにカスタムシステムが使用されることもあります。本シリーズでは、現在最も広く使用されているオーケストレーションの選択肢であるKubernetesを中心に解説します。
   
   
3. ワークロードセキュリティ
   デプロイされるワークロードのセキュリティです。すべてのワークロードはソフトウェアであり、他のワークロードと通信し、一般公開される場合もあります。近年では、インフラストラクチャやミドルウェアも対象に含まれることが増えています。

シリーズの次の記事はこちら：
コンテナセキュリティの基礎：パイプライン