イミュータブルインフラストラクチャ

イミュータブルインフラストラクチャとは、サーバー、コンテナ、イメージなどのコンポーネントをデプロイ後に変更しないというセキュリティおよび運用モデルです。

ライブシステムにパッチを適用したり再構成する代わりに、新しいバージョンに完全に置き換えるアプローチを取ります。

Docker Hardened Images を使用する場合、イミュータビリティはソフトウェアサプライチェーンのセキュリティ体制を強化するためのベストプラクティスとなります。

イミュータビリティが重要な理由

可変（Mutable）なシステムは、セキュリティの確保や監査が難しくなります。

ライブパッチの適用や手動での更新は、次のようなリスクを伴います:

• 構成ドリフト

• 追跡されない変更

• 一貫性のない環境

• 攻撃対象領域の拡大

イミュータブルインフラストラクチャでは、制御された再現可能なビルドとデプロイメントによってのみ変更を行うため、これらの問題を解決できます。

Docker Hardened Images によるイミュータビリティのサポート

Docker Hardened Images は、ミニマルでロックダウンされ、非インタラクティブな設計となっており、コンテナをその場で変更することを抑制します。例えば:

• 多くの DHI イメージは、シェル、パッケージマネージャ、デバッグツールを含みません

• DHI イメージは、デプロイ前にスキャンおよび署名されるように設計されています

• DHI ユーザーには、実行中のコンテナをパッチ適用するのではなく、イメージを再ビルドして再デプロイすることが推奨されています

この設計はイミュータブルなプラクティスと一致しており、以下を保証します:

• 更新は CI/CD パイプラインを通じて行われる

• すべての変更がバージョン管理され、監査可能になる

• システムは一貫性を持ってロールバックまたは再現可能になる

実践におけるイミュータブルパターン

イミュータビリティを活用した一般的なパターンには、次のようなものがあります:

• コンテナの置き換え: バグ修正やパッチ適用のためにコンテナへログインするのではなく、イメージを再ビルドして再デプロイする。

• Infrastructure as Code（IaC）: インフラとイメージの構成をバージョン管理されたファイルで定義する。

• Blue/Green デプロイやカナリアリリース: 新しいイメージを既存のイメージと並行して展開し、徐々にトラフィックを新しいバージョンへ移行する。

イミュータブルインフラの原則とハードニング済みイメージを組み合わせることで、改ざんに強く、長期的なリスクを最小化する予測可能でセキュアなデプロイメントワークフローを実現できます。