Dockerのセキュリティ設計｜非rootユーザー実行とrootlessモードでコンテナを堅牢化する方法

この記事のポイント

・Dockerコンテナはデフォルトでrootユーザーとして動作しリスクがある
・USER命令で非rootユーザーに切り替えるのがDockerfile設計の基本
・Rootless DockerはDocker daemon自体を一般ユーザーで動かす強力な防御策
・両方を組み合わせることで本番環境のコンテナセキュリティが大幅に向上する

# コンテナ内のユーザーを確認する
$ docker run --rm ubuntu whoami
root

# UIDも確認する
$ docker run --rm ubuntu id
uid=0(root) gid=0(root) groups=0(root)

# Dockerfile（非rootユーザー実行の例）
FROM python:3.12-slim

# 作業ディレクトリを作成する
WORKDIR /app

# アプリコードをコピーしてパッケージをインストールする
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY . .

# 専用の非rootユーザーを作成する（UID・GIDを明示的に指定）
RUN groupadd --gid 1000 appgroup &&     useradd --uid 1000 --gid 1000 --shell /bin/bash --create-home appuser

# ファイルの所有権をappuserに変更する
RUN chown -R appuser:appgroup /app

# 非rootユーザーに切り替える
USER appuser

# アプリを起動する
CMD ["python", "app.py"]

# イメージのUSER設定をinspectで確認する
$ docker inspect nginx:latest | grep -A 2 '"User"'
            "User": "",

# nginxはmasterがrootだが、workerプロセスはnginxユーザーで動く
$ docker run --rm nginx ps aux
USER         PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root           1  0.0  0.0   8744  3072 ?        Ss   04:21   0:00 nginx: master
nginx         29  0.0  0.0   9136  2560 ?        S    04:21   0:00 nginx: worker

# UID:GIDを指定して実行する
$ docker run --rm --user 1000:1000 ubuntu whoami
whoami: cannot find name for user ID 1000

# IDで確認する（UIDが1000:1000で動いている）
$ docker run --rm --user 1000:1000 ubuntu id
uid=1000 gid=1000 groups=1000

# subuid/subgidのエントリを確認する
$ cat /etc/subuid
tomohiro:100000:65536

$ cat /etc/subgid
tomohiro:100000:65536

# newuidmapがインストールされているか確認する
$ which newuidmap
/usr/bin/newuidmap

# subuid/subgidエントリを追加する（rootで実行）
$ sudo usermod --add-subuids 100000-165535 tomohiro
$ sudo usermod --add-subgids 100000-165535 tomohiro

# uidmapパッケージをインストールする
$ sudo apt-get install -y uidmap

# rootless extras（rootlesskitなど）をインストールする
$ sudo apt-get install -y docker-ce-rootless-extras

# Rootless Dockerのセットアップスクリプトを一般ユーザーで実行する
$ dockerd-rootless-setuptool.sh install
[INFO] Creating /home/tomohiro/.config/systemd/user/docker.service
[INFO] Starting systemd --user
[INFO] Installed docker.service successfully.
[INFO] To control docker.service, run: `systemctl --user (start|stop|restart) docker.service`
[INFO] To run docker.service on system startup, run: `sudo loginctl enable-linger tomohiro`

# systemd user serviceとして起動・有効化する
$ systemctl --user start docker
$ systemctl --user enable docker

# DOCKER_HOSTを設定する（一般ユーザーのsocketを参照させる）
$ export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock

# bashrcに追記して永続化する（tee -a で追記）
$ echo 'export DOCKER_HOST=unix:///run/user/$(id -u)/docker.sock' | tee -a ~/.bashrc

# 動作確認する
$ docker run --rm hello-world
Hello from Docker!

# daemonのUIDを確認する（rootでないことを検証）
$ ps aux | grep dockerd | head -2
tomohiro  12345  0.0  0.1 1234567 89012 ?  Ssl  09:00   0:01 dockerd ...

# 1024未満のポートを一般ユーザーが使えるように変更する（rootで実行）
$ sudo sysctl net.ipv4.ip_unprivileged_port_start=80

# 再起動後も有効にする（tee -a で追記）
$ echo "net.ipv4.ip_unprivileged_port_start=80" | sudo tee /etc/sysctl.d/99-rootless-docker.conf

# ストレージドライバを確認する
$ docker info | grep "Storage Driver"
Storage Driver: overlay2
# または（fuse-overlayfsの場合）
Storage Driver: fuse-overlayfs

# ベストプラクティス：capabilityを最小化して起動する例
$ docker run   --user 1000:1000   --cap-drop=ALL   --cap-add=NET_BIND_SERVICE   --read-only   --tmpfs /tmp   -p 8080:8080   myapp:latest