コンテナは「家」、rootは「家主」！Dockerで非特権ユーザーを使うべき理由を優しく解説します
こんにちは。セキュリティの世界で長く戦っていると、「便利な技術ほど、実は危うい足元がある」という事実に何度も直面します。
今回は、開発現場で避けては通れない「Dockerコンテナのセキュリティ」について、少しだけ立ち止まって考えてみましょう。特に、Dockerの初期設定のまま「root（ルート）」権限でアプリを動かしているあなた、ちょっと待ってください！その設定、実は泥棒に「どうぞご自由に」と玄関を開けているのと同じかもしれません。
なぜ「root」で動かすのがいけないの？
まずは身近な例え話から始めましょう。
あなたは自分の家を建てました。家の中には「リビング（アプリ）」や「キッチン（ライブラリ）」があります。
ここで、あなたが家の中で「どんな場所にも自由に入れるし、家具を勝手に壊す権利も持っている『家主（root権限）』」として生活していると想像してください。もし、見ず知らずの泥棒が窓から侵入してきたらどうなるでしょう？
泥棒はあなたの家主権限を奪い、家中のどこでも好き勝手に暴れまわって、近所の家まで攻撃する拠点にしてしまうかもしれませんよね。
Dockerの世界でも同じです。コンテナの中でアプリが「root」として動いていると、もしアプリに小さなバグがあって攻撃者に侵入された瞬間、攻撃者は「コンテナという家の中のあらゆる権限」を手に入れてしまうのです。
「非特権ユーザー」という「ゲストルーム」を作る
では、どうすればいいのか。答えは簡単です。「家主（root）」としてではなく、「一般ゲスト（非特権ユーザー）」としてコンテナを住まわせればいいのです。
ゲストはリビングには入れますが、家の重要書類が入っている金庫（OSの核心部分）を開ける権限はありません。これなら、万が一泥棒に入られても、被害は「ゲストルームの範囲内」に食い止めることができます。これを「コンテナ脱出」のリスク低減と呼びます。
Dockerfileで「脱・root」を実現しよう
では、実際にどう書けばいいのか、Dockerfileの書き方を見ていきましょう。一歩ずつ、丁寧に解説しますね。
NGな書き方（rootで動いている状態）
これだとコンテナ内ではずっと「家主(root)」として動きます
FROM node:18
WORKDIR /app
COPY . .
CMD [“node”, “app.js”]
GOODな書き方（非特権ユーザーで動かす）
FROM node:18
1. 新しいユーザー（appuser）を作成する
systemオプションでログインできない安全なユーザーとして登録します
RUN groupadd -r appuser && useradd -r -g appuser appuser
2. 作業ディレクトリを作成し、所有権を非特権ユーザーに変更する
WORKDIR /app
RUN chown -R appuser:appuser /app
3. 以降の命令は「appuser」として実行する（ここが重要！）
USER appuser
アプリの実行
COPY –chown=appuser:appuser . .
CMD [“node”, “app.js”]
この設定のポイント
- useradd -r: 「システムユーザー」として作成することで、ログインできない安全なアカウントを作ります。
- chown: ディレクトリの持ち主を「家主(root)」から「ゲスト(appuser)」に変更します。これで、アプリが動く場所の鍵をゲストに渡したことになります。
- USER命令: これを宣言した行から下は、すべてゲストの権限で動きます。これぞセキュリティの防波堤です。
最初は少し面倒に感じるかもしれませんが…
「わざわざユーザーを作るのって面倒だな」と感じるかもしれません。でも、セキュリティは「面倒なこと」の積み重ねが、将来の「大事故」を防ぐ一番の近道なんです。
一度このテンプレートを作ってしまえば、あとは他のプロジェクトでも使い回せます。最初は難しいかもしれませんが、今日このDockerfileを一行書くだけで、あなたの作ったアプリケーションは一気に「強固な防犯設備を備えた家」に進化します。
ぜひ、次のデプロイから試してみてください。あなたのアプリケーションを守ることは、あなた自身と、それを使うユーザーを守ることにつながります。一歩ずつ、セキュアな開発者への階段を登っていきましょう！
コメント