Docker Desktopをベースとした開発環境にゼロトラスト・セキュリティの原則を適用し、セキュリティ侵害のリスクから保護するための戦略がいくつか存在すると、Docker社のシニア・テクニカル・リーダーであるJay Schmidt氏が説明する。
ゼロトラスト・セキュリティ・モデルは、機密データの保護、セキュリティ侵害のリスク低減、ネットワーク・トラフィックの可視化などを実現する効果的な戦略として、ここ数年で注目を集めている。従来のシステムだけでなく、イメージの脆弱性、サイバー攻撃、不正アクセス、その他のセキュリティ・リスクの影響を受けるコンテナ・ベースのアーキテクチャにも適用できる。
ゼロ・トラスト・モデルでは、代わりに、IDとロールに基づいてのみ特権が付与され、基本ポリシーは誰も信頼しないことだ。これは、企業内部の境界内にいるユーザーやマシンが自動的に信頼されるという、従来の「境界ベース」のセキュリティ・アプローチを超えることを意味する。ゼロ・トラスト・モデルでは、代わりに、アイデンティティと役割に基づいてのみ特権が付与される。
Schmidt氏は記事の中で、マイクロセグメンテーション、最小権限アクセス、デバイスアクセス制御、継続的検証など、ゼロトラストモデルの中核となる原則が、Docker Desktopベースの開発環境にどのように適用できるかを分析している。
マイクロセグメンテーションは、テスト、トレーニング、本番環境など、複数の保護されたゾーンを作成することを目的としており、1つのゾーンが侵害されても、残りのネットワークは影響を受けずに作業を継続できる。
Docker Desktopでは、分離されたネットワークを作成するためのブリッジネットワークや、コンテナを個別の物理デバイスとして扱えるMacvlanネットワークドライバを使用して、きめ細かいネットワークポリシーを定義できるとSchmidt氏は言う。ネットワークアクセスルールをカスタマイズできるもう一つの機能は、エアギャップコンテナだ。
最小特権アクセスの原則に則り、拡張コンテナ分離（ECI）により、アクターがアクションを実行するのに必要な最小限の特権しか持たないようにすることが容易になる。
コンテナでの作業に関して言えば、最小特権アクセスを効果的に実装するには、AppArmor/SELinuxの使用、seccomp（セキュア・コンピューティング・モード）プロファイルの使用、コンテナがrootとして実行されないことの保証、コンテナが高度な特権を要求したり受け取ったりしないことの保証などが必要になります。
ECIは、すべてのコンテナを非特権で実行する、ユーザー名前の領域を再マッピングする、ファイルシステムへのアクセスを制限する、機密性の高いシステムコールをブロックする、Docker EngineのAPIからコンテナを分離するなど、多くの望ましいプロパティを強制する。
ロールベースのアクセス制御（RBAC）を使用した認証と承認も、Docker Desktopが様々な方法でサポートする重要なプラクティスだ。これには、グループを管理し、アカウントレベルでロールとチームメンバーシップを強制するシングルサインオンや、サプライチェーン攻撃から保護するレジストリアクセス管理（RAM）とイメージアクセス管理（IAM）が含まれる。
Docker Desktopのセキュリティモデルのもう一つの構成要素は、Docker Scoutを使用したソフトウェア部品表（SBOM）のロギングとサポートである。SBOMを使用することで、CVEやセキュリティポリシーとの継続的なチェックが可能になる。例えば、すべての有名なCVEを緩和するように強制したり、ルートイメージを検証するように強制できる。
最後に、Dockerのセキュリティはコンテナの不変性によって強化できる。これにより、コンテナーが置き換えられたり改ざんされたりすることがなくなる。この目的のために、Dockerは--read-onlyフラグを使用するか、docker composeファイルにread_only:trueキー・バリュー・ペアを指定してコンテナを実行する可能性を提供している。
以上、Docker Desktopが提供する、ゼロトラスト・モデルを実施するためのツールや機能の概要を紹介した。全容を知りたい方は、元記事をお見逃しなく。