第4章 レジストリー
4.1. コンテナーの出所
ダウンロード済みかつデプロイ済みのコンテナーイメージのコンテンツをスキャンし、追跡するには各種のツールを使用できます。しかし、コンテナーイメージの公開ソースは数多くあります。公開されているコンテナーレジストリーを使用する場合は、信頼されるソースを使用して保護用の層を追加することができます。
4.2. イミュータブルで認定済みのコンテナー
イミュータブルなコンテナー を管理する際に、セキュリティー更新を使用することは特に重要になります。イミュータブルなコンテナーは、実行中には変更されることのないコンテナーです。イミュータブルなコンテナーをデプロイする場合には、実行中のコンテナーにステップインして 1 つ以上のバイナリーを置き換えることはできません。更新されたコンテナーイメージを再度ビルドし、デプロイする必要があります。
以下は、Red Hat 認定イメージの特徴になります。
- プラットフォームの各種コンポーネントまたは層に既知の脆弱性がない。
- ベアメタルからクラウドまで、RHEL プラットフォーム全体で互換性がある。
- Red Hat によってサポートされている。
既知の脆弱性の一覧は常に更新されるので、デプロイ済みのコンテナーイメージのコンテンツのほか、新規にダウンロードしたイメージを継続的に追跡する必要があります。Red Hat セキュリティーアドバイザリー (RHSA) を利用して、Red Hat 認定コンテナーイメージで新たに発見される問題についての警告を受け、更新されたイメージを確認することができます。
関連資料
OpenShift Container Platform のイミュータブルなコンテナーに関する詳細情報:
- 『OpenShift Container Platform アーキテクチャー』: 「イメージストリーム」
- 『OpenShift Container Platform 開発者ガイド』: 「イメージストリームでのイメージの参照」
4.3. Red Hat Registry および Red Hat Container Catalog
Red Hat は、Red Hat Registry を使用して Red Hat 製品およびパートナー企業のオファリングの認定コンテナーを提供します。Red Hat Registry は、registry.access.redhat.com で Red Hat がホストする公開されているコンテナーレジストリーです。Red Hat Container Catalog を使用すると、Red Hat Registry で提供されるコンテナーイメージと関連したバグ修正またはセキュリティーアドバイザリーを確認できます。
Red Hat ではコンテナーのコンテンツの脆弱性を監視し、コンテンツを定期的に更新しています。glibc、Drown、または Dirty Cow の修正など、Red Hat がセキュリティー更新をリリースする際に、影響を受けるすべてのコンテナーイメージも再ビルドされ、Red Hat Registry にプッシュされます。
Red Hat は、Red Hat Container Catalog で提供されるコンテナーのセキュリティーリスクについて「健全性のインデックス」を使用します。Red Hat は、エラータプロセスでソフトウェアを提供します。セキュリティーのレベルは、コンテナーが古いと低くなり、新規のコンテナーの場合はセキュリティーのレベルが上がります。
コンテナーの年数について、Red Hat Container Catalog では格付けシステムを使用します。最新度についての評価は、イメージに利用できる最も古く、最も重大度の高いセキュリティーエラータに基づいて行われます。格付けは「A」から「F」まであり、「A」が最新となります。この格付けシステムの詳細については、「Container Health Index grades as used inside the Red Hat Container Catalog」を参照してください。
関連資料
4.4. OpenShift Container レジストリー
OpenShift Container Platform には、OpenShift Container レジストリー が含まれます。これはプライベートレジストリーで、コンテナーイメージを管理するために使用可能なプラットフォームに統合された状態で実行されます。OpenShift Container レジストリーは、ロールベースのアクセス制御を提供します。これにより、どのコンテナーイメージを誰がプル/プッシュするのかを管理できるようになります。
また、OpenShift Container Platform はすでに使用中の他のプライベートレジストリーとの統合もサポートしています。
関連資料
-
『OpenShift Container Platform アーキテクチャー』:「インフラストラクチャーコンポーネント
コンテナーレジストリー」