2025/12/18 2:13
A Safer Container Ecosystem with Docker: Free Docker Hardened Images
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
Dockerは、Apache 2.0ライセンスの下で配布される1,000以上の安全で本番環境向けコンテナイメージからなる「Docker Hardened Images（DHI）」を発表しました。これらのイメージは、不必要なパッケージを除去し、最小権限を強制し、検証可能なSBOM、SLSAレベル 3プロビナンス、および公開されているCVEデータを提供することで、サプライチェーン攻撃から守ることを目的としています。Dockerは、Enterprise版が画像サイズを最大95％削減しながら既知のCVEsをほぼゼロに保つことができると主張しており、Enterprise層はFIPS/STIG準拠、CISベンチマーク準拠であり、重要なCVE修正について7日以内のSLAを提供しています。オプションのExtended Lifecycle Support（ELS）計画により、アップストリームパッチ後最大5年間のサポートが追加されます。
DHIはすでにAdobe、Qualcomm、Attentive、Octopus Deploy、MongoDB、Anaconda、Socket、Temporal、CircleCI、およびLocalStackなどの主要企業で採用されており、Google Cloud、JFrog Xray、Snyk、CNCFプロジェクトなどと提携してイメージをスキャナーやインフラストラクチャに組み込んでいます。Dockerはまた、MCPサーバー（Mongo, Grafana, GitHub）へのハードニング原則の拡張計画を立てており、既存コンテナをスキャンし、同等のハード化イメージを推奨または適用できる実験的AIアシスタントも提供しています。
このローンチは、2021年以降3倍に増加したと報告されているサプライチェーン攻撃による6,000億ドルの損害という脅威への対応として位置付けられており、Christian Dupuis氏とMichael Donovan氏が「コンテナセキュリティの分水嶺」と呼ぶ瞬間を示しています。DockerはDHI以外にもコンテナセキュリティ機能の革新を継続する予定です
本文
コンテナ―が生産環境への道標となる理由
コンテナはほとんどの開発者にとって製品化への普遍的なルートであり、Docker はこのエコシステムを常に支えてきました。
Docker Hub では月間 200 億件以上のプルが記録されており、現在組織の約 90 % がソフトウェアデリバリ ワークフローでコンテナを利用しています。この事実は私たちに責任を課します：世界中のソフトウェアサプライチェーンを安全に保つ手助けです。
なぜ
サプライチェーン攻撃が急増しています。2025 年には 600 億ドル以上の被害が発生し、2021 年から 3 倍になりました。誰もが対象であり、言語・エコシステム・ビルド・配布のすべての段階が狙われます。
このため、私たちは 2025 年 5 月に Docker Hardened Images（DHI） を発表しました。これは安全かつミニマルで本番環境向けのイメージセットです。以降、1,000 件以上のイメージと Helm チャートを強化しています。今日、DHI をすべての開発者に無料でオープンソースとして提供し、26 億件を超えるコンテナエコシステムへ新たな業界標準を確立します。
DHI は完全にオープンで、利用・共有・構築にライセンスの不安はありません。Apache 2.0 ライセンスでサポートされており、最初のプルから安全でミニマルな本番環境基盤を提供します。
もし「あり得ないほど良い」と感じるなら、要点は次のとおりです：すべての開発者・アプリケーションは制限なく DHI を使用でき（そしてすべき）です。継続的なセキュリティパッチ（7 日以内に適用）、規制産業向けイメージ（FIPS、FedRAMP など）、当社の安全ビルドインフラ上でカスタマイズしたイメージ、または EOL 後のパッチが必要な場合でも、DHI は商用オファリングを簡単に提供します。
DHI の導入以来、Adobe や Qualcomm などの大手企業が Docker を選び、全社的なセキュリティを確保しています。Attentive や Octopus Deploy などのスタートアップは、コンプライアンスと販売を加速させ、大規模ビジネスへ拡大しています。
Docker Hardened Images の哲学
ベースイメージは最初のレイヤーからアプリケーションのセキュリティを決定します。そのため、何が含まれているかを正確に知ることが重要です。
-
完全な透明性
- DHI は攻撃面を縮小する distroless ランタイムを使用しつつ、開発者ツールは保持します。
- すべてのイメージには完全かつ検証可能な SBOM が付属します。
- 各ビルドは SLSA Build Level 3 の起源情報（provenance）を提供します。
- 脆弱性は公開 CVE データに基づいて評価され、修正が行われていない場合でも隠しません。
- すべてのイメージには真正性証明が付随します。
-
簡単な移行
- Debian と Alpine の信頼できるオープンソース基盤に構築されています。
- Docker の AI アシスタントは既存コンテナをスキャンし、等価のハード化イメージを推奨・適用できます（実験的で近日 GA 予定）。
-
積極的な SLA と長期サポート
- DHI Enterprise は重要 CVE の修復に 7 日間のコミットメントを提供し、将来的には < 1 日以内へ縮小します。
- Docker のビルドインフラを通じて無制限のカスタマイズが可能です（証明書・鍵・システムパッケージ・スクリプト等）。
オファリング
| 選択肢 | 内容 |
|---|---|
| Docker Hardened Images | すべて無料。ミニマルなハード化イメージ、簡単移行、完全透明性。Alpine と Debian をベースに構築。 |
| DHI Enterprise | 厳格なセキュリティ/規制要件を満たす保証：FIPS 対応、STIG 準備済み、CIS ベンチマーク準拠。< 7 日以内（< 1 日へ短縮予定）での SLA 付き修復、無制限カスタマイズ、全カタログアクセス。 |
| DHI Extended Lifecycle Support (ELS) | DHI Enterprise の有料追加オプション。上流サポート終了後最大 5 年間のセキュリティカバーを提供し、継続的 CVE パッチ、更新 SBOM と provenance、署名・監査可能性を維持します。 |
始め方
- ランチウェビナーに参加して実際に体験してください。
- すぐに Docker Hardened Images を無料で利用開始。
- ドキュメントを確認し、DHI をワークフローへ組み込みます。
- パートナープログラムに加入し、誰もが安全性を高める手助けをします。
私たちは今始まったばかりです。コンテナセキュリティの未来を共に築きたい方はぜひお会いしましょう。
著者ノート
Christian Dupuis
本日の発表は業界にとって転換点となります。Docker は、すべての開発者・組織・オープンソースプロジェクト向けにアプリケーションをデフォルトで安全に構築する方法を根本的に変えています。このマイルストーンは、SBOM と脆弱性管理システムから始まり、本年初めに DHI を公開し、今ではすべての人が無料で利用できるようになった結果です。共にこの旅路を歩んだ同僚・友人・パートナー・顧客に感謝しています。
Michael Donovan
Docker に入社した理由は、多くの開発者にポジティブな影響を与えることでした。このローンチは、すべての開発者が追加作業なしでアプリケーションを安全に保つ権利を手に入れることを意味します。コンテナエコシステムと私たちが日々利用するデジタル体験に大きな変革をもたらす瞬間です。これまで築いてきたものを誇りに思い、今後の展開に胸を膨らませています。