← 2026-10-23 の一覧へ戻るホーム
Docker は変だ

2026/10/23 8:45

Docker は変だ

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

本文は、主に Linux コンテナが特定のコア機能を利用して孤立化されたプロセスであり、仮想マシンとは異なること、また Docker がイメージをフォルダとして管理することを明確にしています。完全な仮想化と異なり、コンテナは隔離にはネームスペースを用い、リソース管理には cgroups を用いて、管理されたディレクトリ内でバイナリを直接実行します。重要な技術的詳細として、Go で記述される 

runc
ランタイムがあり、これは初期システムコールの処理に C モジュールを使用して Linux カーネルとインターフェースする必要があります。Go は 
fork
などの特定の機能へのネイティブサポートを持っていないため、不足している振る舞いを近似させるために 
/proc/self/exe
などのワークアラウンドが必要です。さらに、標準的な Linux カーネル API は通常ルートの権限を必要とするため、Docker デモンはデフォルトで昇権限（elevated permissions）で動作します。これを解決するためには、ルートレスコンテナランタイムは、通常ルートベースのセットアップが提供する機能を複製するために、ユーザースペースのネットワーキングスタックを再構築する必要があります。結局のところ、これらのアーキテクチャ的な制約を理解することは、安全なルートレス環境を管理するユーザーにとって不可欠であり、不要な権限昇格を避けながらシステム安定性を維持する互換性のあるインフラを設計する企業にとっても重要です。

本文

Docker の奇妙な事実を学ぶ体験談

娯楽のために自分専用のコンテナランタイムを作成するプロジェクトを開始し、Docker の背後にある不思議な仕組みに気づき始めました。以下に学んだ重要な事実を整理します。

1. コンテナは「実在」していない

仮想マシン（VM）とは異なり、コンテナは単に特殊な制限がかけられているプロセスに過ぎません。Linux カーネルはこのプロセスを実行し続けており、通常の 

/proc
ディレクトリ下でそのプロセスを確認できます。

2. 「コンテナ」という概念は単一の機能ではない

Linux カーネルには「コンテナ」という固有の機能は存在せず、5 つの異なる技術の集まりです（これをマントコートのついたものになぞらえ、

trenchcoat
と呼ぶこともあります）。それぞれ以下のような役割を果たしています。

  • Namespaces: ホストとコンテナが見える範囲を隔離し隠蔽します。
  • cgroups: コンテナのリソース使用量を制限します。
  • ネットワーク: コンテナのネットワークを孤立させるための一連の仕組みが存在します。

3. イメージは単なるフォルダーに過ぎない

Docker はイメージを配置し、

chroot
（または 
pivot_root
）を実行することで、そのフォルダーをコンテナプロセスの新しいルートディレクトリとして指定するだけです。

例：

docker run -it --rm ubuntu /bin/bash
を実行すると、以下のような手順で動作します。

  1. Docker Hub から 
    ubuntu
    のイメージをダウンロードします。
  2. ダウンロードしたファイルをディスク上の特定の場所に保存します。
  3. /some/weird/docker/path/bin/bash
    を直接実行します。

4. Go はコンテナランタイムには相応しくない言語である

Docker のコンテナランタイム 

runc
は Go で記述されていますが、Go の設計上の決断により用途に不適切な側面があります。

  • マルチスレッド構造の問題: Go のランタイムは生来のマルチスレッド構造を持っていますが、
    runc
    ではシングルスレッド環境下でのみ動作する Linux システムコール（syscalls）を処理する必要があるため課題となります。
  • フォークの欠如: Go には 
    fork
    関数がありません。コンテナランタイムは制限を設定してから実際にプロセスを実行（
    exec
    ）する前に、本来的に 
    fork
    したい挙動をする必要があります。

この問題を回避するため、

runc
は以下の方法を採っています：

# /proc/self/exe を実行し、「子プロセス」として振る舞うようにシミュレーション
/proc/self/exe <特別なコマンドライン引数>

5. Docker は root ユーザーが必須（場合による）

Mac OS などで Docker を運用する場合、以下の点に注意が必要です。

  • 権限の必要性: コンテナランタイムが利用する Linux カーネル API の多くは、root 権限で実行する必要があります。そのため、Docker デーモンは通常 root ユーザーとして動作します。
  • ネットワークと Rootless: ネットワーク機能については例外があり、Rootless コンテナランタイムを使用する場合、ユーザー空間で完全な機能を確保するにはネットワークスタック全体を実装し直す必要があるようです。

6. 学習は楽しい！

自分専用のコンテナランタイム開発はまだ初期段階ですが、普段使っているツールを自作することでその仕組みを理解できると実感しました。

同じ日のほかのニュース

一覧に戻る →

2026/10/23 7:54

LLM が大規模な正式なソフトウェア検証の実現を可能にしています

## Japanese Translation: 研究者は、大規模言語モデル（LLM）の Claude を用いて、100 以上のオープンソースソフトウェアライブラリに対して前例のない規模での形式的検証を実行し、歴史的なマイルストーンを達成しました。Theorem との協力により、プロダクション向けソフトウェアに対する初の大規模 AI 主導の形式的検証として、アセンブリ（RISC-V）レベルで実装されたコードが検証されました。その結果、64 MB 未満の入力に対して、123 のライブラリの実行可能アーティファクトがメモリ安全性エラーやフェイルするアサートなしに正常終了することが証明されました。この達成には、Claude が Rocq コードを約 1.8 億行生成し、239 のエントリポイントを対象にクラッシュしない仕様を証明するとともに、従来のフォージングで検出されなかった深刻なバグを特定・修正する作業が行われたことが寄与しました。具体的には、カウンタのアンダーフローや境界外読み取りといった複雑な問題を含むものが含まれます。検証の対象は Linux でコンパイルされた RISC-V 命令であり、ユーザーが信頼しなくてもよいのは既知のハードウェア/ソフトウェアの数学モデル、定理ステートメント自体、および Rocq の証明チェッカーのみです。基本的安全性を超えて、このアプローチはデータ圧縮の精度やアルゴリズムの正しさ（例：red-black トリーの再平衡）といった高位のプロパティも検証しました。チームは共有作業空間戦略を採用し、証明の再利用によりトークン使用量を 17%削減するものであり、Mathlib のような数学ライブラリの成長に類似しています。形式的に検証済みであっても、形式仕様が実態と異なったり機械モデルが現実と異なる場合（例：x86/ARM システム上）には、完全なバグの不在を保証しないことに留意する必要があります。本プロジェクトでは公衆の検討のために一部の証明をリリースしており、AI 支援による検証をソフトウェア開発ワークフローでの標準へと導く道筋を用意しています。

2026/10/22 23:32

Quad9（DNS レゾルバー）がフランスから退出します

## Japanese 訳： 2026 年 11 月 24 日より、Quad9 はフランスのユーザーに対して、無料のサイバープロテクトおよび一般的なサービスを提供を永久に停止いたします。この決断は、beIN が提起した重大な訴訟において Quad9 に不利となるフランス裁判所の判断を受けたものです。beIN は、特定のドメイン名の再帰的 DNS 解決をブロックすることが、視聴覚的な権利を保護するために必要であると主張しました。裁判所は、違反が完了するまで（11 月 14 日）の金融ペナルティを約 580,000 �ーロから毎日上記 1,000 ユーロに減額しましたが、Quad9 は再帰的 DNS 解決が中立かつ受動的なサービスであり、応答を変更することはそのミッションであるプライバシー、セキュリティ、そしてインテグリティに違反するとする理由をもってこれに従うことができないと述べています。さらに、Quad9 の無料サービスには登録や身元証明は不要であり、ユーザーと管轄区域を関連付けるデータベースを持たないため、geoIP ベースの管轄区域マッピングは技術的に不可能です。フランス裁判所の要求を満たすためにグローバルなブロックを実施することは、French の法律を全世界のユーザーに適用することを意味し、Quad9 にとって許容されない越境的な先例となります。以前にも地理的な IP ブロックの実施を試みた際（例：2021 年から 2023 年にかけてドイツ）、原告が VPN を介してブロックを回避したために裁判所に対する軽蔑罪として罰金が科されるなどしました。Quad9 に対して数百のドメイン名のブロックを求めて進行中の訴訟が約 20 件あり、累積的な法的リスクは大きいです。上訴は進行中ですが、Quad9 は予定通り撤退を進めることにします。この動きにより、国家機関（例：DINUM, EDF, SNCF）、研究ネットワーク（RENATER）、大学、医療提供者、および民間企業を含む何百万人ものフランスのユーザーが、サイバー脅威からほぼ 9 年間も重要な保護を失うことになります。Quad9 は、将来、監督なしで民間企業が DNS コンテンツフィルタリングを自動化することを可能にする法律に対して警告を発し、市民に対し、日常のドメイン名lookup が刑事犯罪ではないことを明確化することを目指しています。

2026/10/20 16:15

回路の秘められた生活が今すぐどこでも入手可能です

## Japanese Translation: 本書「回路の秘められた人生」は、厳格なテストにより完全に AI 生成コンテンツを含まないことが確認されたという重要な保証のもとにリリースされました。この区別は、2026 年という現在において極めて重要です。人工知能が作成する数百冊の書籍と競合しなければならない人類の著者にとって、また AI エンティティが関与する可能性のある既存のタイトル squatting（架空タイトル取得）慣行に対峙するためにも、この区別は不可欠です。合成された著作物および潜在的に squat されている文学物が拡大する中、こうした検証済みの人間による作品を支えるため、読者には本書を積極的に購入し、率直なレビューを残すことを推奨します。このようなフィードバックは推奨アルゴリズムに直接作用し、飽和した市場において非 AI コンテンツが visibility（可視性）を確保するのを保証します。入手可能なのは、米国大手小売業者であるバース&ノーブル（Barnes & Noble）やその他のグローバルプラットフォームに加え、欧州の購入者向けの特定の地域別 Amazon サイト（例：amazon.de, amazon.fr, amazon.pl, amazon.es, amazon.nl, amazon.se, amazon.it, amazon.co.uk）などです。この検証済みのテキストを選択し、本物のレビューを提供することで、読者は機械生成の代替案よりも真の人間の創造性を優先する倫理的な消費習慣を維持するのに貢献できます。こうした努力は集まり、出版風景が自動化された創出へと劇的に変化する中で、人間による著者の声が聞かれ、価値ある存在として存続することを保証します。 ## Text to translate: The book "The Secret Life of Circuits" has been released with a critical guarantee: rigorous testing confirms it is entirely free of AI-generated content. This distinction is vital in 2026, an era where human authors must compete against hundreds of books created by artificial intelligence, alongside existing title-squatting practices that may involve AI entities. To support these verified human works amidst this growing volume of synthetic and potentially squatted literature, readers are encouraged to actively purchase the book and leave honest reviews. Such feedback directly supports recommendation algorithms, ensuring visibility for non-AI content in a saturated market. Availability extends across major US retailers like Barnes & Noble and other global platforms, as well as specific regional Amazon sites for European buyers (e.g., amazon.de, amazon.fr, amazon.pl, amazon.es, amazon.nl, amazon.se, amazon.it, and amazon.co.uk). By choosing this verified text and providing authentic reviews, readers can help sustain ethical consumption habits, prioritizing genuine human creativity over machine-generated alternatives. This effort collectively ensures that human-authored voices remain heard and valued as the publishing landscape shifts dramatically toward automated creation.