Kubernetes vs Docker

Kubernetes と Docker: コンテナとは何ですか?

このトピックを理解するには、まずコンテナーを理解することから始めます。 コンテナーは、アプリケーションに必要なすべてのライブラリと依存関係が 1 つのパッケージに含まれるコードの単位です。 

コンテナは仮想マシンとよく比較されますが、いくつかの重要な点で異なります。

• コンテナーと仮想マシンは、さまざまなレイヤーで抽象化を提供します。 コンテナはアプリケーション層で抽象化を提供し、仮想マシンはハードウェア層で抽象化を提供します。 これは、コンテナを使用すると企業がアプリケーションやサービスをパッケージ化して実行できる一方、仮想マシンを使用すると完全なオペレーティング システムを実行できることを意味します。 
• コンテナはより軽量です。 コンテナーには完全なオペレーティング システムに必要なすべてが含まれていないため、仮想マシンよりも占有するストレージ容量が少なく、起動が高速になる傾向があります。
• これらは、さまざまなレベルの論理分離を提供します。 コンテナは以下を提供します レス 仮想マシンよりも論理的に分離されています。 仮想マシンはオペレーティング システムとカーネルを論理的に完全に分離しますが、システム上のすべてのコンテナは同じカーネルを共有します。 

コンテナーが解決する基本的な問題の 1 つは、アプリケーションが開発では動作するが本番では動作しないという IT 運用部門を伝統的に悩ませていた「自分の環境で動作する」という課題です。 コンテナーを使用すると、基盤となるコンテナー エンジン (Docker Engine など) がある限り、あらゆるハードウェア、オペレーティング システム、クラウド上でまったく同じワークロードを実行できます。 

Kubernetes を理解する

Docker がコンテナを作成して実行するためのツールであるのに対し、Kubernetes はコンテナ オーケストレーションのためのツールです。 

Kubernetes を使用すると、企業は次のことを管理できます。 クラスター Dockerコンテナを含むコンテナの規模。 たとえば、Kubernetes ではリソース構成が可能になります (例: コンテナーごとの RAM)、自動スケーリング、負荷分散、エンタープライズ アプリケーションの変更ロールアウト (またはロールバック)。 

これらは 2 つの異なる目的を果たすため、Kubernetes と Docker はどちらか一方を選択するという話題ではありません。 実際、多くの場合、Docker と Kubernetes は DevOps パイプライン全体で一緒に使用されます。 ただし、Docker プラットフォームに加えて、Docker, Inc. という会社は、Kubernetes に匹敵するコンテナ オーケストレーション ツールである Docker Swarm も提供しています。 

コンテナのセキュリティを確保する方法

企業が使用するコンテナオーケストレーションプラットフォームやコンテナエンジンに関係なく、コンテナワークロードの保護は必須です。 コンテナはエンタープライズインフラストラクチャの基本的なコンポーネントであるため、攻撃者にとって価値の高い標的でもあります。 

差出人 コンテナイメージでのクリプトマイニングエクスプロイト コンテナエスケープの脆弱性への CVE-2019-5736のruncの欠陥では、企業はコンテナをさまざまな脅威から確実に保護する必要があります。 

リスクを軽減し、セキュリティ体制を改善するために、コンテナセキュリティ企業が従うべきベストプラクティスには、次のようなものがあります。

• セキュリティを左にシフトする: 動的な脅威に対応するために、企業はCI\CDパイプライン全体にセキュリティを統合する必要があります。 これはですね shifting security left また、ソフトウェア開発ライフサイクル(SDLC)全体に安全なプラクティスを統合することは必須です。 

• 最小特権の原則に従います。 企業は、ユーザーとアプリケーションの権限に対してゼロトラスト アプローチを採用しています。 これは、次のようなベストプラクティスに従うことを意味します。 IAM ポリシー 最小特権と制限の原則に基づいて、読み取り専用ファイルシステムを使用し、API アクセスを制限し、Docker コンテナーでの特権フラグの使用を排除または制限します。 

• 攻撃対象範囲の縮小: 未使用のオープン ネットワーク ポート、ライブラリ、ワークロードは、悪用の入り口となる可能性があります。 コンテナー ワークロードを実行する際のリスクを制限するために、企業は、未使用のネットワーク サービスをオフにし、未使用のライブラリをアンインストールし、ビジネス目的でなくなったワークロードを廃止する必要があります。 

• 信頼できる安全なコンテナイメージのみを使用します。 パブリック コンテナ レジストリには脆弱性が含まれていることが多く、場合によってはマルウェアが含まれています。 企業は、悪意のあるイメージや脆弱なイメージへの露出を制限するために、信頼できるリポジトリからのみコンテナイメージを取得する必要があります。 

• 適切な DevSecOps ツールを使用します。 プロアクティブなスキャンと監視、ソース構成分析、堅牢な脅威検出は、コンテナセキュリティの重要な側面です。 しかし、従来のセキュリティアプライアンスは、コンテナのワークロードには適していません。 したがって、セキュリティ体制を最適化したい企業は、 最新のインフラストラクチャを念頭に置いて構築された DevSecOps ツール. 

見る Dockerコンテナのセキュリティ そして Kubernetes (K8s) のセキュリティ コンテナのセキュリティについて深く掘り下げます。