コンテナイメージの脆弱性管理

コンテナイメージに含まれるOSパッケージやライブラリの既知の脆弱性を検出し、修正していく取組み。イメージスキャナを使ってビルド時、レジストリへの登録時、稼働中に継続して検査し、信頼できる最小構成のベースイメージを使う、署名で改ざんを防ぐといった運用を行う。稼働中のコンテナに直接パッチを当てるのではなく、修正版からイメージを作り直して入れ替えるのが原則。

ソフトウェアに見つかった脆弱性を修正するために、開発元が提供する修正プログラム。公開された脆弱性はすぐに攻撃に悪用されやすいため、業務への影響を確かめたうえで速やかに適用する。修正プログラムが提供される前に脆弱性を突く攻撃をゼロデイ攻撃という。

コンテナのデプロイ、スケーリング、管理を自動化するコンテナオーケストレーションプラットフォーム。Pod、Service、Deploymentなどのリソースでアプリケーションを管理し、自動復旧やローリングアップデートを実現する。

DockerやKubernetesなどのコンテナ技術を利用した開発・実行環境におけるセキュリティ対策。コンテナイメージの脆弱性スキャン、信頼できるベースイメージの使用、実行時の権限制限、ネットワークポリシーの設定、イメージ署名による改ざん検知などが含まれる。

コンテナを作成・配布・実行するための代表的なプラットフォーム。Dockerfileに手順を記述してコンテナイメージを作成し、Docker Hubなどのコンテナレジストリを通じて共有することで、どの環境でも同じ実行環境を再現できる。開発環境と本番環境の差異をなくし、アプリケーションの配備を迅速にする。

クラウド上のアプリケーションやデータを、別のクラウド事業者の環境やオンプレミスへ、大きな作り直しをせずに移せる性質。特定の事業者の独自サービスに強く依存すると移行が難しくなる（ベンダーロックイン）ため、コンテナ、Kubernetes、IaC、標準的なデータ形式の採用で移しやすさを確保する。

アプリケーションを、業務の機能ごとに独立して開発・配備・拡張できる小さなサービスの集まりとして構成するアーキテクチャ。サービスどうしはAPIで通信し、それぞれが自分のデータを持つ。サービスごとに更新や拡張ができる一方、サービス間の通信の遅延や障害、分散したデータの整合性の管理が課題になる。