Docker: コンテナセキュリティのベストプラクティス

# セキュリティハードニング: root 以外 + 最小ケーパビリティ
docker run -d \
  --user 1000:1000 \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  --read-only \
  myapp:1.0

# Trivy をインストール (Linux)
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh

# イメージの脆弱性をスキャン
trivy image nginx:1.25-alpine

# 深刻度でフィルタしてスキャン
trivy image --severity HIGH,CRITICAL nginx:1.25-alpine

# JSON で出力してスキャン
trivy image --format json --output report.json myapp:1.0

nginx:1.25-alpine (alpine 3.19.0)
=========================
Total: 5 (HIGH: 2, CRITICAL: 0)

┌──────────┬────────────┬──────────┬──────────┬─────────────────┐
│ Library  │ Vulnerability│ Severity │ Version  │ Fixed Version   │
├──────────┼────────────┼──────────┼──────────┼─────────────────┤
│ libcurl  │ CVE-2023-xxxx│ HIGH     │ 8.4.0    │ 8.5.0           │
│ openssl  │ CVE-2023-yyyy│ HIGH     │ 3.1.3    │ 3.1.4           │
└──────────┴────────────┴──────────┴──────────┴─────────────────┘

# Docker Scout (Docker Desktop 内蔵)
docker scout quickview nginx:latest

# 詳細な CVE レポート
docker scout cves nginx:latest

# 2 つのイメージを比較
docker scout compare --from nginx:1.24 --to nginx:1.25

# すべてのケーパビリティを削除し、必要なものだけ追加する
docker run -d \
  --name secure-app \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  -p 80:8080 \
  myapp:1.0

# カスタム seccomp プロファイルで実行
docker run -d \
  --security-opt seccomp=chrome.json \
  --name browser \
  chromium:latest

# 現在のセッションで DCT を有効化
export DOCKER_CONTENT_TRUST=1

# 署名済みイメージをプッシュ
docker push myorg/myapp:v1.0

# プル時: DCT が署名を検証
docker pull myorg/myapp:v1.0

# 署名されていないイメージのプル: 拒否される (DCT が有効な場合)
docker pull myorg/myapp:unsigned
# Error: No trust data for unsigned

# CIS Docker Benchmark チェックを実行
docker run --rm --net host --pid host \
  --userns host --cap-drop audit_control \
  -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
  -v /etc:/etc:ro \
  -v /lib/systemd/system:/lib/systemd/system:ro \
  -v /usr/bin/containerd:/usr/bin/containerd:ro \
  -v /usr/bin/runc:/usr/bin/runc:ro \
  -v /usr/lib/systemd:/usr/lib/systemd:ro \
  -v /var/lib:/var/lib:ro \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  docker/docker-bench-security

[INFO] 1 - Host Configuration
[INFO] 1.1  - Ensure Docker is up to date
[PASS] 1.2  - Ensure only trusted users are allowed to control Docker daemon
[WARN] 1.4  - Ensure a separate partition for containers has been created

[INFO] 4 - Container Images
[PASS] 4.1  - Ensure a user for the container has been created
[WARN] 4.7  - Ensure HEALTHCHECK instructions have been added
[WARN] 4.9  - Ensure COPY is used instead of ADD

# ============================================
# 完全な手順: 本番コンテナのハードニング
# 監査スコア 45 → 92 を実現
# ============================================

# ステップ 1: 脆弱性をスキャン
trivy image --severity HIGH,CRITICAL myapp:1.0
# 対策: ベースイメージを更新し、バージョンを固定する

# ステップ 2: 最大限のセキュリティ制約で実行
docker run -d \
  --name hardened-app \
  --user 1000:1000 \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  --security-opt seccomp=default.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid \
  --tmpfs /run:rw,noexec,nosuid \
  -v app-logs:/app/logs \
  --log-driver json-file \
  --log-opt max-size=10m \
  --log-opt max-file=3 \
  --health-cmd="curl -f http://localhost:8080/health || exit 1" \
  --health-interval=30s \
  --health-retries=3 \
  -p 8080:8080 \
  myapp:hardened

# ステップ 3: セキュリティ設定を検証
docker inspect hardened-app --format='
User: {{.Config.User}}
ReadOnly: {{.HostConfig.ReadonlyRootfs}}
Capabilities: {{.HostConfig.CapAdd}}
NoNewPrivileges: {{.HostConfig.SecurityOpt}}
'

# ステップ 4: CIS ベンチマークを実行
docker run --rm ... docker/docker-bench-security

# ステップ 5: ハードニング後に再スキャン
trivy image myapp:hardened