Docker で実現する、より安全なコンテナエコシステム ー 無償で使える Docker Hardened Images

投稿日 12月 17日, 2025年

コンテナは、今や多くの開発者にとって本番環境へ進むための共通の手段となっています。Docker はこれまで一貫して、そのエコシステムを支えてきました。Docker Hub では毎月 200億回以上のpull が行われており、現在では約 90%の組織がソフトウェア開発・提供のプロセスでコンテナを利用しています。だからこそ、私たちには責任があります。世界中のソフトウェアサプライチェーンを、より安全にすることです。

サプライチェーン攻撃は急増しています。2025年には、2021年の3倍に増える600億ドル以上の被害をもたらしました。もはや安全な場所はありません。あらゆる言語、あらゆるエコシステム、そしてビルドから配布に至るすべての工程が、攻撃の対象となっています。 

こうした背景から、Docker は Docker Hardened Images(DHI) を 2025年5月にリリースしました。DHI は、安全性を重視し、最小構成で、本番利用に適したイメージ群です。リリース以降、カタログ内で 1, 000 以上のイメージおよび Helm チャート をハードニングしてきました。そして現在、Docker は DHI を 無償かつオープンソース として提供することで、ソフトウェアを開発するすべての人に向けた新たな業界標準を打ち立てようとしています。コンテナエコシステムに関わる 26 百万以上の開発者 のために。DHI はApache 2.0 ライセンス のもと、完全にオープンで、自由に利用・共有・拡張できます。ライセンス面での予期せぬ制約もありません。DHI は、最初の pull の瞬間から、安全で最小構成の、本番対応基盤を世界中に提供します。

もし「うますぎる話」に聞こえるなら、最初に結論をお伝えします。すべての開発者、そしてすべてのアプリケーションは、制限なく DHI を使うことができます(そして、使うべきです!)。7 日以内に適用される継続的なセキュリティパッチが必要な場合、規制業界向け(例:FIPS、FedRAMP)のイメージが必要な場合、Docker の安全なビルド基盤上でカスタムイメージを構築したい場合、あるいは EOL(サポート終了)後もセキュリティパッチが必要な場合には、DHI の商用サービスを提供します。シンプルです。

DHI の提供開始以降、Adobe や Qualcomm のようなエンタープライズ企業は、最高レベルのコンプライアンス要件を満たすために、自社全体のセキュリティ基盤として Docker を採用しています。一方で、Attentive や Octopus Deploy のようなスタートアップ企業は、コンプライアンス対応を迅速に進め、大企業向けのビジネス展開を加速させています。

今では、すべての人が、すべてのアプリケーションを、最初の docker buildから安全に構築できます。他のブラックボックス化された独自の Hardened Image とは異なり、DHI は Alpine や Debian と互換性があり、すでに多くのチームが信頼し、使い慣れているオープンソース基盤をそのまま活用できます。最小限の変更で導入可能です。一部のベンダーが「スキャナをグリーンに保つ」ために CVE 情報を抑制する中、Docker は 常に透明性を重視しています。パッチ対応の途中であっても例外ではありません。なぜなら、私たちは「自分たちのセキュリティ状況を常に把握できるべきだ」と根本的に考えているからです。その結果、CVE は大幅に削減(DHI Enterprise ではほぼゼロを保証)、イメージサイズは最大 95 %小さくなり、そして透明性や信頼を損なうことなく、安全なデフォルト設定を実現しています。

他にもまだあります。DHI イメージを Kubernetes 環境で活用するための Hardened Helm Charts もすでに提供しており、こちらもオープンソースです。そして本日、私たちは Hardened MCP Servers によって、この基盤をさらに拡張します。DHI のセキュリティ原則を、すべてのエージェント型アプリの中核となる MCP インターフェースレイヤーへと広げていきます。今すぐ、Mongo、Grafana、GitHub など、開発者が最も依存している MCP サーバーの Hardened 版を実行できます。そして、これはまだ始まりにすぎません。今後数か月で、ハードニングされたライブラリ、システムパッケージ、その他あらゆる重要コンポーネントへと、この安全な基盤をソフトウェアスタック全体に拡張していきます。目標はシンプルです: main() から下のすべてを、安全にすることです。 


Docker Hardened Images の哲学

ベースイメージは、アプリケーションのセキュリティを最初のレイヤーから定義します。だからこそ、そこに何が含まれているのかを正確に把握することが極めて重要です。以下が、私たちのアプローチです。

第一に、最小構成で、明確な思想を持ち、安全性を備えたイメージのあらゆる部分における完全な透明性です。

DHI は distroless ランタイムを使用し、開発者が依存するツールを維持しながら、攻撃対象領域を縮小しています。しかし、セキュリティは単なる最小化ではありません。完全な透明性が必要です。多くのベンダーは、独自の CVE スコアリング、脆弱性の過小評価、あるいは SLSA Build Level 3 に到達するという曖昧な約束によって、実態を不明瞭にしています。

DHI は異なる道を選びます。すべてのイメージには、完全で検証可能な SBOM が含まれています。すべてのビルドには、SLSA Build Level 3 の来歴(provenance)が付与されます。すべての脆弱性は、公開された透明性のある CVE データを用いて評価され、修正されていない脆弱性を隠すことはありません。すべてのイメージには、真正性の証明が付属します。その結果、明確さをもって構築され、証拠によって検証され、妥協なく提供される、信頼できるセキュアな基盤が実現します。

第二に、セキュアなイメージへの移行には実際の作業が必要であり、それ以外のふりをすべきではありません。しかし Docker らしく、私たちは開発者体験(DX)を非常に使いやすいものにすることに注力してきました。前述のとおり、DHI は世界がすでに信頼しているオープンソース基盤である Debian と Alpine の上に構築されており、チームは最小限の摩擦で導入できます。私たちは、その摩擦をさらに減らしています。DockerのAIアシスタントは 、既存のコンテナをスキャンし、同等の Hardened Image を推奨、または適用することも可能です。この機能は現時点では実験的ですが、実際の移行事例から学びながら、迅速に GA(一般提供)していきます。 

最後に、私たちは最も厳しい SLA や長期サポートを前提に設計し、必要な場面では、それを確実に支えられる体制を DHI 全体として用意しています。

DHI の商用サービスである DHI Enterprise には、Criticalな CVE 修正に対して 7日以内に対応するコミットメントが含まれており、将来的には 1 日以内 を目指すロードマップも掲げています。規制産業やミッションクリティカルなシステムにとって、このレベルの信頼性は必須です。しかし、それを実現するのは簡単ではありません。深いレベルでのテスト自動化や、アップストリームから分岐したパッチを受け入れられるまで維持し続ける能力が求められます。これが、多くの組織が自力では実現できない理由です。さらに DHI Enterprise では、Docker のビルドインフラを活用することで、DHI イメージを容易にカスタマイズできます。Docker がイメージのライフサイクル全体を管理し、ビルドの来歴(provenance)とコンプライアンスが維持されることを保証します。例えば、通常は証明書や鍵、システムパッケージ、スクリプトなどを追加する必要がありますDHI のビルドサービスを使えば、これらは簡単に実現できます。

パッチ適用の SLA やビルドサービスには実際の運用コストがかかるため、DHI はこれまで商用サービスとして提供されてきました。しかし、私たちのビジョンは常により広いものでした。このレベルのセキュリティは、誰もが利用できるべきであり、重要なのはタイミングです。現在では、そのためのエビデンス、インフラ、業界パートナーシップが整いました。だからこそ私たちは、Docker Hardened Images を無償かつオープンソースとして提供しています。

この動きは、10 年以上前に Docker 公式イメージを定義したときと同じ精神に基づいています。公式イメージは、無償で提供され、無償のまま維持され、明確なドキュメント、ベストプラクティス、継続的なメンテナンスによって支えられてきました。その基盤は、何百万人もの開発者やパートナーにとっての出発点となりました。

そして今、私たちは再びそれを実行しています。DHI の無償化は、Google、MongoDB、CNCF をはじめとするパートナーエコシステムの急速な成長によって支えられています。さらに、Snyk や JFrog Xray のようなセキュリティプラットフォームは、DHI を直接スキャナーに統合しています。私たちは共に、業界全体のセキュリティ基準を引き上げる、統合されたエンドツーエンドのサプライチェーンを構築しています。

「Docker がセキュリティ強化(ハードニング)済みイメージを Apache 2.0 のもとで無償提供することは、オープンソースエコシステムへの強いコミットメントを示しています。すでに多くの CNCF プロジェクトが DHI カタログに含まれており、より広いコミュニティが、安全で適切にメンテナンスされたビルディングブロックにアクセスできるようになることで、ソフトウェアサプライチェーンを共に強化することができます。Docker がオープンなコラボレーションとセキュアなコンテナ基盤への投資を続けていることを、とても心強く感じています。」

ジョナサン・ブライス

クラウドネイティブコンピューティング財団のエグゼクティブディレクター

「ソフトウェアサプライチェーン攻撃は業界にとって深刻な問題です。Docker Hardened Imagesを無料で広く普及させることは、開発者にとって適切なものを簡単に行えるようにし、業界全体のソフトウェア提供をより迅速かつ安全な基盤にすべきです。」

ジェームズ・ガバナー

アナリスト兼共同創設者、RedMonk

「セキュリティはプレミアム機能であるべきではありません。ハード化イメージを無料ですることで、Dockerは大企業だけでなくすべての開発者がより安全な基盤からスタートできるようにしています。ノイズや労力を減らすツールを見るのが大好きですし、初日からGoogle Cloud上で安全なワークロードを運用する準備ができています」

ライアン・J・サルバ

Googleのプロダクトシニアディレクター、開発者エクスペリエンス

「MongoDBでは、オープンソースが現代ソフトウェアの構築において中心的な役割を果たし、柔軟性、選択肢、開発者の生産性を可能にすると考えています。だからこそ、MongoDB向けの無料のDocker Hardened Imagesにとても期待しています。これらのイメージは、AlpineやDebianなどの実績あるLinux基盤上で、信頼できてすぐに展開できるビルディングブロックを提供し、Apache 2と連携しています。ライセンス0 、完全にオープンソースのままで、誰でも無料で利用できます。Docker Hubの世界的な展開とMongoDBの信頼性と安全性へのコミットメントにより、将来に向けて自信を持って安全でオープンな基盤を構築しやすくしています」

ジム・シャーフ

MongoDBの最高技術責任者(CTO)

「Dockerと提携し、開発から本番環境まで安全なエンタープライズグレードのAIワークロードを提供できることを大変嬉しく思います。5000万人以上のユーザーとFortune 500の大多数がAnacondaを信頼しており、エンタープライズ規模での安全な運用を支援しています。このDockerとのパートナーシップは、その基盤をDocker Hardened Imagesにもたらします。これにより、チームはリスク管理に費やす時間を減らし、イノベーションにより多くの時間を割くことができ、アイデアから生産までの時間を短縮できます。」

デイビッド・デサント

アナコンダ最高経営責任者(CEO)

「Socketはインストール時に悪意のあるパッケージを阻止し、Docker Hardened Images(DHI)はそれらのパッケージに信頼できる実行場所を提供します。無料のDHIを利用すれば、チームは指一本動かすことなく両方の保護を受けられます。ハード化されたイメージを取得し、npmインストールを実行すると、DHIに埋め込まれたSocketファイアウォールはすでに動作しています。それこそが本当の「デフォルトによる安全」の姿であり、私たちはDockerと提携し、彼らの規模でそれを実現できることを楽しみにしています。」

フェロス・アブカディジェ

創設者兼CEO、Socket

「Temporalを用いて構築するチームはミッションクリティカルなワークフローをオーケストレーションし、Dockerはそれらのサービスを本番環境でデプロイする方法です。Docker Hardened Imagesを無料で利用可能にすることで、ユーザーは初日からそのワークフローの強固な基盤を築け、Extended Lifecycle Supportは継続的なリプラットフォーム化なしで長期稼働するシステムの安全性を保つのに役立ちます。」

マキシム・ファティーエフ

最高技術責任者(テンポラル)

「CircleCIでは、チームがコードをできるだけ速く生成する必要があることを理解しており、それは信頼できる基盤から始まります。Docker Hardened Imagesは、事前保護され継続的に検証されたコンポーネントを最初から提供することで、重要な検証のボトルネックを排除し、チームが迅速かつ自信を持って出荷できるようにします。」

ロブ・ズーバー

CircleCIの最高技術責任者(CTO)

「当社では、強化されたベースイメージの複数のオプションを評価し、サプライチェーンのセキュリティ体制、開発者ツールの互換性、この分野におけるDockerの成熟度、既存のインフラストラクチャとの統合との整合性を理由に、Docker Hardened Images(DHI)を選択しました。私たちは信頼性、保守性、エコシステムの互換性のバランスを取ることに重点を置いていました。」

Vikram Sethi氏

アドビの主任科学者

「開発者には、足を引っ張らない安定した基盤が必要です。Docker Hardened Imagesを無料で公開することで、ソフトウェアサプライチェーンのソースからのセキュリティをこれまで以上に容易にしています。これにより、何かが本番環境に触れる前にリスクを排除し、LocalStackも共通する使命となっています。LocalStackでは、開発者がこれらの強化された最小限のイメージをエミュレーターに使用できるようになり、チームが絶え間ないCVEの消防活動から解放されるよう支援できることを特に嬉しく思っています。」

ヴァルデマー・ハマー

LocalStackの共同創業者兼CTO

すべてのチームとビジネスにとって安全な道筋

今や誰もがDHIから始めるための確かな基盤を持っています。しかし、あらゆる形態や規模の企業には、それ以上のものが必要なことが多いのです。コンプライアンス要件やリスク許容度から、ソースが利用可能になった瞬間に上流に先行してCVEパッチが必要になる場合があります。企業や政府部門で事業を行う企業は、FIPSやSTIGなどの厳格な基準を満たす必要があります。また、本番環境は決して止まらないため、多くの組織は上流のサポート終了後もセキュリティパッチ適用を継続する必要があります。

そのため、現在は異なるセキュリティ現実に対応した3つのDHIオプションを提供しています。

Docker Hardened Images(DHI): みんなに無料で。DHIは現代ソフトウェアにふさわしい基盤です。最小限のハード化画像、簡単な移行、完全な透明性、そしてAlpineとDebianを基盤としたオープンエコシステムです。

Docker Hardened Images(DHI)エンタープライズ: DHIエンタープライズは、厳格なセキュリティや規制要件を持つ組織、政府、機関が依存する保証を提供します。FIPS対応かつSTIG対応の画像。CISベンチマークの遵守。重要な CVE に対して 7 日以内に信頼できる対応策です。そして、1日目(あるいはそれ以下の)修正に向かうにつれて、SLAはどんどん短くなっています。

より多くのコントロールが必要なチームには、DHI Enterpriseが対応します。画像を変えてください。ランタイムを設定しましょう。curlのようなツールをインストールしましょう。証明書を追加しましょう。DHI Enterpriseは無制限のカスタマイズ、完全なカタログアクセス、そして自分のペースで画像を形作りながら安全を保つ機能を提供します。

DHI拡張ライフサイクルサポート(ELS): ELSはDHIエンタープライズの有料アドオンであり、ソフトウェアの最も難しい問題の一つを解決するために構築されています。上流のサポートが終了するとパッチは停止しますが、脆弱性は止まりません。スキャナーが点灯し、監査人は回答を求め、コンプライアンス体制は検証済みの修正を求めます。ELSは、最大5年間の追加セキュリティカバー、継続的なCVEパッチ、更新されたSBOMとプロビナンス、そしてコンプライアンスのための継続的な署名と監査でこのサイクルを終わらせます。

これらの選択肢については こちらで詳しく知ることができます。

始める方法はこちらです

コンテナエコシステムの安全確保は、私たちが共に行うことです。今日、私たちは世界に築くためのより強固な基盤を提供しています。今では、すべての開発者、すべてのオープンソースプロジェクト、すべてのソフトウェアベンダー、すべてのプラットフォームにDockerハードンドイメージをデフォルトにしたいと考えています。

  • 発表ウェ ビナー に参加して、実際に体験し、最新情報を学んでください。
  • 使い始め DockerのHardened Imagesを今日無料で入手可能です。
  • ドキュメントを詳しく見 て、DHIをワークフローに取り入れてみてください               
  • パートナープログラムに参加して、すべての人のセキュリティ基準を引き上げる手助けをしましょう。    

最後に、私たちはまだ始まったばかりです。もしこれを読んでいて、コンテナセキュリティの未来を築く手助けをしたいと思われるなら、ぜひお会いしたいです。ぜひご参加ください。

著者注

クリスチャン・デュピュイ

本日の発表は、私たちの業界にとって画期的な瞬間となります。Docker は、すべての開発者、すべての組織、そしてすべてのオープンソースプロジェクトにとって、アプリケーションが「デフォルトで安全に」構築されるあり方を、根本から変えようとしています。 

この瞬間は、私にとって大きな誇りです。Atomist でイベント駆動型の SBOM や脆弱性管理システムを構築していた初期の頃から、現在 Docker Scout の基盤となっているその技術、今年初めに DHI を発表し、そして今回それをすべての人に無償で提供できるようになるまで、長年の取り組みの集大成だからです。このビジョンを現実のものにしてくれた Docker の素晴らしい同僚や友人たち、そして初日から私たちを信じ、助言やフィードバックを通じてこの道のりを共に形作ってくれたパートナーやお客様に、心から感謝しています。

とはいえ、これは重要な節目ではありますが、あくまで節目です。まだ道半ばであり、この先にはさらに多くのイノベーションが待っています。実際、私たちはすでに次に来るものに取り組み始めています。

セキュリティはチーム競技です。そして今日、Docker はそのフィールドをすべての人に開きました。さあ、始めましょう。

マイケル・ドノバン

私は、できるだけ多くの開発者に前向きな影響を与えたいという思いから Docker に参加しました。今回のローンチによって、すべての開発者は、作業負荷を増やすことなく、自分たちのアプリケーションを安全にする権利を手にすることができます。これは、コンテナエコシステム、そして私たちが日々使っているデジタル体験における、画期的な転換点を示しています。

私たちが作り上げてきた製品、そして日々サービスを提供しているお客様に、私は心から誇りを感じています。素晴らしいチームと共にこのプロダクトを築くことに人生の多くの時間を費やしてきました。そして、これから何が起こるのか、これまで以上に楽しみにしています。

著者について

シニアプリンシパルソフトウェアエンジニア、Docker氏

Docker、製品管理担当バイスプレジデント

関連記事