‫わかりました｡ まずはDockerで実行するだけです｡
‫これは､ おそらく...なので､ あなたは一種の議論を作成する必要があります｡
‫というのも､
‫これにはバリアがあるんですね｡ Dockerを使うだけで､ その1｡
‫もし､ これができなかったら
‫まあ､ 1つは､ 私の番組を見てくれているんだろうということ｡
‫しかし､ それはおそらく､ セキュリティチームや経営陣が､
‫Dockerの周りにセキュリティがあることをどこかで読んだことがあるということでしょう｡
‫最新のものは､ この号の一番下までスクロールしていただくと､
‫今､ 画像が出回っているということでした｡
‫それに､ インターネットから無作為に選んだソフトを､ 最初に確認せずに実行すると､
‫ウイルスに感染する可能性があることは､ 誰にとってもニュースではないでしょう｡
‫基本的に､ 人々はDocker Hub上でイメージを作成し､
‫その中に暗号通貨や暗号ジャックのツールを入れて､
‫基本的にそれを実行するのですが...
‫他のソフトウェアを動かしているつもりが､
‫実はハッカーのために何か不正なものを動かしている｡
‫まあ､ これは新しいことではありませんし､ Dockerがこれを何かと簡単にしてくれるわけではありません｡
‫ルールはみんな知っている｡ サーバー上でランダムなコードを実行しないのと同じように､
‫ランダムな画像を実行しないようにしましょう｡
‫インターネットから適当にダウンロードするのではありません｡
‫だから､ 画像でやってはいけないんです｡
‫公式画像や絶対に信頼できるものだけを実行する｡
‫意味は､ ベンダーを知っているかどうか｡
‫ベンダーはその画像にあなたとの関係を賭けているのであって､
‫必ずしもコードの一行ごとに画像をスキャンする必要はないのです｡
‫でも､ 評判の良い会社の評判の良い製品を使っているわけでしょう？
‫そんなことしてたら､ このローカル... この最近のニュースで話題になったことは､
‫どうでもいいことなんです｡
‫Dockerの脆弱性ではなかったのです｡
‫Dockerを設定する際､ デフォルトで入っているセキュリティを無効にして､
‫適当なソフトウェアやイメージをダウンロードする人がいました｡
‫もちろん､ 問題があるのは当然ですよね｡
‫ハッカーがより巧妙になったというのが本当のところでしょう｡
‫私たちの多くがコンテナを実行していることを知っているので､
‫コンテナ・イメージにウイルスを入れるようになるでしょうね｡
‫また､
‫Docker Hubはすべての画像をスキャンするわけではありません｡ 公式画像に含まれるセキュリティ上の問題点のみをスキャンします｡
‫それはもうDocker Hubの機能ではありません｡
‫何百万､ 何千万という画像がありますから､ 全員を対象にしたことはありません｡
‫昔は払えたのに､ もうそんなの払えないよってことでしょ｡
‫わかりました｡
‫ステップ1はDockerを使うだけです｡
‫ご存知ないかもしれませんが､ Dockerをそのまま使うと､
‫その中のアプリケーションはすでにハード化されているのです｡
‫1つは､
‫そのアプリケーションは､ システム上で実行されている他のアプリケーションを見ることができないことです｡ だから､ 残りのものを実行してもアクセスできないんです｡
‫その容器の中に入っているものだけ､ ですね｡
‫しかし､ Dockerのコンテナは､
‫Linuxのセキュリティ機能を有効にします｡
‫Seccomp､ AppArmor､
‫SELinux､ カーネル機能などが含まれます｡
‫この4つはすべてDockerの内部にあり､ ホストがサポートしていればデフォルトで有効になっています｡ すべてのLinuxディストリビューションがすべてのセキュリティツールをサポートしているわけではないので｡
‫しかし､
‫この4つ､ 特にAppArmor､ Seccomp､
‫Linuxの機能は､ 実行するすべてのコンテナに対して､
‫すぐに有効になるのです｡ そのため､ ある種のアプリケーションでは､ -privilegeのように実行しなければならないことがあるのです｡
‫なんというか､ 特権モードで動かすしかないんですよね｡
‫それは､ そのアプリがやりたいこととデフォルトが矛盾しているからです｡
‫なぜなら､
‫Dockerが設定するそれらのデフォルトは､
‫ほとんどのアプリケーションが正しく動作するための共通事項だからです｡
‫Dockerは基本的に､ その昔､ たくさんのツールを調べ､
‫一般的なオープンソースソフトウェアをスキャンし､ ホストの権利やパーミッションの面で､
‫それらのすべてに共通する傾向があることを突き止めたのです｡
‫それ以外のもの､
‫つまり通常のアプリケーションがアクセスできる何百ものものを､
‫彼らは取り上げてしまったんです｡
‫その結果､ Dockerは非常に安全なデフォルトのプロファイルを持つことになったのです｡
‫つまり､ ホスト上でNginxを実行すると､ そのユーザがアクセスできるカーネル内のすべてにアクセスできるようになります（通常､
‫ほとんどのものにアクセスできます）｡
‫しかし､ コンテナで実行すれば､ その多くがロックされるので､
‫何もカスタマイズしていなくても､ 自動的に､ より安全な状態で､
‫すぐに使えるようになります｡
‫それが､
‫なぜセキュリティのためにDockerなのか､ みたいな私の主張です｡ そうすれば､ 自動的にこれらのことが可能になります｡
‫ほとんどの人は､
‫AppArmorの使い方､ Seccomの使い方､ SELinuxの使い方､
‫アプリケーションごとにそれらをカスタマイズする方法について知りません｡
‫でも､
‫Dockerはそうやって､ アウト・オブ・ボックスでやってくれるんです｡