セキュアなコンテナホストOSについて調べてみた

はじめまして。サイオステクノロジー DX Product & Integration コンテナ・プラットフォーム事業でエンジニアリングを担当している阿部です。

みなさま、コンテナ技術は使っていますでしょうか？

コンテナ技術って、まだまだ新しくてどんどん進化していてワクワクしますよね！

1 はじめに
2 ボトルロケット？！
3 Container-Optimized OS
4 いろんなコンテナホストOS
5 おわりに

はじめに

さて、この記事では、コンテナに最適化されておりセキュアなコンテナホストOSについてのお話をしようと思います。

コンテナホストOSについて調べてみるといろいろあるんですね。この記事ではセキュアなことに着眼していますが、セキュリティ以外にもいろいろなメリットがあります。

今まで特に気にしないで、一般的なLinuxディストリビューションをコンテナホストOSに使用されている方も、コンテナ用に設計されたOSを使ってみてセキュアなシステムを構築してみてはいかがでしょうか？

ボトルロケット？！

名前がユニークですよね。炭酸水を入れたロケットの模型のことではありません。

AWS でマネージド Kubernetes を実行する Amazon Elastic Kubernetes Service（Amazon EKS）などで活用されているコンテナホスティング用オープンソース OS 「Bottlerocket」のことです。

「Bottlerocket」は、コンテナホスト専用に設計および最適化した Linux ベースのオープンソースオペレーティングシステムです。

「Bottlerocket」には、いろいろなメリットがありますが、コンテナホストに必要となるソフトウェアのみで構成されているシンプルなOSであるため、攻撃対象を減らすことができるので、セキュリティに関しても優位なものとなります。

セキュリティに関連する特徴としては、「ブート時には自己の整合性をチェックして起動」「SELinuxの強制アクセス制御により、Bottlerocket自体への変更も特権コンテナからの変更のみに制限」「OSは主にリードオンリーのファイルシステムを使用」などがあげられます。

このOSは 2020年8月31日にGAローンチされたもので、オープンソースということもあって、これからの進化に期待しちゃいますね。

Amazon EKS や ECS でホストOSを選ぶときになんとなく Amazon Linux を選択されている方もいらっしゃるかと思いますが、セキュリティについて少し考えてみて、そもそも攻撃対象を減らすというアプローチで「Bottlerocket」を検討してみるのもアリかもしれないですね。

Container-Optimized OS

次に、GCP で活用されるコンテナホストOSはどうでしょうか？

はい、ありました。「Container-Optimized OS」です。

名前のとおりです。コンテナの実行に対して最適化された Compute Engine VM 用のオペレーティングシステムイメージです。

GCP でマネージド Kubernetes を実行する Google Kubernetes Engine（GKE）などで活用されているOSです。こちらは、オープンソースのChromium OSプロジェクトに基づく、Googleが管理するオペレーティングシステムです。

「Container-Optimized OS」もセキュアなOSとなり、脆弱性となりうる範囲をはじめから減らしているOSです。

このOSのセキュリティ機能としては「ルートファイルシステムが常に読み取り専用としてマウントされブート時にカーネルによってルートファイルシステムの整合性が確認される」「Chromium OS に含まれている Integrity Measurement Architecture（IMA）、監査、Kernel Page Table Isolation（KPTI）、Linux セキュリティモジュール（LSM）など、複数のセキュリティ強化カーネル機能が有効になっている」などがあげられています。

GCP上でコンテナを利用する方は検討してみてもよいですね。

ただし、「Container-Optimized OS」は「Bottlerocket」と異なり、ユーザーがカスタマイズしたイメージを構築することを想定していません。

カスタムビルドをしたい方は注意が必要です。