こんにちは！インフラやセキュリティの世界へようこそ。
新人のIT担当者や、「セキュリティって何だか難しそう……」とドキドキしている開発者の皆さん、日々の開発本当にお疲れ様です。
いきなりですが、皆さんは自分の家の鍵をしっかり閉めて出かけていますよね？
でも、もし「家の中に、泥棒が侵入したときに使えそうなバールや金づち、さらには設計図までご丁寧に置いてある部屋」があったとしたらどうでしょう？「そんなバカな！」と思いますよね。
実はこれ、コンテナを使ったシステム開発の世界で、私たちがうっかりやってしまいがちな「怖ーい落とし穴」なんです。
今回は、攻撃者に狙われる隙をググッと減らすための強力なテクニック「マルチステージビルド」について、身近な防犯にたとえながら優しく紐解いていきたいと思います。一歩ずつ、安心して学んでいきましょう！
—
1. なぜ「コンテナイメージの軽量化＝セキュリティ向上」なのか？
私たちが普段使っているDockerなどのコンテナは、アプリケーションを動かすための「小さな箱」のようなものです。この箱を作る（ビルドする）とき、私たちはついつい次のようなものを含めてしまいがちです。
- ソースコード（プログラムの設計図）
- コンパイルやビルドに使う大型のツール（コンパイラや開発キット）
- パッケージ管理ツールやデバッグ用のコマンド
これらを全部入りのまま、インターネット上に公開するサーバーへぽんと置いてしまうのは、先ほどの例で言えば「鍵の壊れた部屋に、高級な工具や設計図を山積みにしておく」ようなものなんです。
もし悪意ある攻撃者（泥棒）にサーバーの隙をつかれて侵入されたとき、箱の中に開発ツールが揃っていたらどうなるでしょうか？ 攻撃者はそのツールを使って、その場でさらに凶悪なウイルスを作ったり、他のシステムを攻撃するための武器を勝手に組み立てたりできてしまいます。
だからこそ、「本番の実行に必要なもの以外は、すべて現場から持ち出す（排除する）」という発想が、セキュリティの基本であり、最大の防御になるのです。
—
2. マルチステージビルドってなに？ 家作りにたとえてみよう
ここで登場するのが、今回の主役である「マルチステージビルド」です。
難しそうな名前ですが、考え方はとてもシンプルです。家を建てるプロセスを想像してみてください。
1. 工事現場ステージ：
大工さんが集まって、足場を組んで、重機や工具をフルに使って家を「建てます」。ここには資材や工具、職人さんたちがたくさんいます。
2. お引越しステージ：
家が完成したら、重機や工具、余った木くずはすべて片付けて、「きれいに掃除された住居スペース」だけを別の場所に引っ越します。
マルチステージビルドとは、まさにこの仕組みをプログラムのビルド（作成）に取り入れたものです。
Dockerのファイル（Dockerfile）の中で、作業用のステージと、実際に動かす用のステージを分けることで、最終的な成果物（コンテナイメージ）の中に「余計なツールやソースコードを残さない」ようにできるのです。
—
3. 【実践】マルチステージビルドを書いてみよう！
百聞は一見にしかず。実際にGo言語の簡単なWebアプリを例に、マルチステージビルドの Dockerfile を書いてみましょう。
下のコードを見てください。「なんだか文字がいっぱいだな」と思っても大丈夫。日本語のコメントを頼りに、流れを追ってみてくださいね。
# ==========================================
# ステージ1：「工事現場」のステージ
# ==========================================
# 重たいビルドツール（Go言語の開発キット）が含まれるイメージをベースにします
FROM golang:1.21 AS builder
# コンテナ内の作業ディレクトリを作成します
WORKDIR /app
# ソースコードをパソコン（手元）からコンテナの中にコピーします
COPY . .
# アプリケーションのビルド（プログラムを動かせる形に変換）を行います
# ここで「main」という名前の実行ファイルが作られます
RUN CGO_ENABLED=0 GOOS=linux go build -o main .
# ==========================================
# ステージ2：「お引越し（本番）」のステージ
# ==========================================
# 攻撃者が悪用できるツールを一切持たない、極限まで軽量で安全なOS（Alpine Linux）を使います
FROM alpine:3.19
# セキュリティのために作業用ディレクトリを整えます
WORKDIR /app
# 【ここがポイント！】
# ステージ1（builder）で出来上がった「実行ファイル（main）」だけをここにコピーします！
# ソースコードや開発ツールは、このステージには一切コピーされません。
COPY --from=builder /app/main .
# コンテナが起動したときに実行するコマンドを指定します
CMD ["./main"]この Dockerfile を使うと、最終的に出来上がるコンテナの中には、プログラムを動かすための最小限のファイルしか残りません。
もし万が一、サーバーが攻撃を受けたとしても、攻撃者はコンテナ内にコンパイラやソースコードを見つけられないため、そこからさらなる不正な操作をすることが非常に難しくなります。これが「攻撃対象領域の削減（Attack Surface Reduction）」の泥臭くも確実な実態です。
—
4. 日々の開発で意識したい、セキュリティの心構え
マルチステージビルドは、私たち開発者が「知っているか・知らないか」だけでシステムの安全性を大きく変えてくれる素晴らしい技術です。
最後に、現場で意識してほしいポイントをいくつかお伝えしますね。
- 「動けばいいや」を卒業する：
開発のときは便利だからと何でも入り（latestタグやフルサイズのイメージ）を使いがちですが、本番環境や外部に公開する環境では、必ず不要なものを削ぎ落とす習慣をつけましょう。
- ベースイメージは小さく：
今回使った alpine のような、余計な機能が入っていない軽量なベースイメージを選ぶことも、堅牢なシステムを作るための大切な第一歩です。
- こまめなアップデート：
どれだけ綺麗にビルドしても、使っているベースイメージに古い脆弱性（セキュリティのほころび）があれば意味がありません。定期的なイメージの作り直しと更新を心がけましょう。
セキュリティ対策は、特別な魔法を使うわけではありません。「不要なものは置かない」「鍵をきちんとかける」といった、身の回りの防犯と同じ当たり前の積み重ねです。
最初は難しく感じるかもしれませんが、一歩ずつ、安全で堅牢なシステム作りの楽しさを味わっていきましょう。あなたの書くコードが、今日も安全に世界に届くことを応援しています！
コメント