名前空間と cgroups（コンテナの基盤）

コンテナはなぜ「軽い」のか

仮想マシン（VM）は、ハードウェアを丸ごと仮想化し、その上に ゲスト OS のカーネルを丸ごと 動かします。隔離は強い反面、OS が重なるぶん 重く・起動も遅い です。

一方コンテナは、ホストのカーネルをそのまま共有 したまま、プロセスを隔離します。新しい OS を起動しないので 軽く・速い。この「軽い隔離」を実現しているのが、Linux カーネルの2つの機能——名前空間（namespaces） と cgroups です。

観点	仮想マシン	コンテナ
カーネル	ゲストごとに別	ホストと共有
隔離の強さ	強い	中（カーネル共有のぶん弱い）
起動の速さ	遅い（OS 起動）	速い（プロセス起動）
資源の重さ	重い	軽い

役割を一言で分けると、名前空間が「何が見えるか」を、cgroups が「どれだけ使えるか」を担う と覚えると整理できます。

名前空間：見える範囲を区切る

名前空間 は、プロセスから見える OS 資源を 区画ごとに分離 する仕組みです。同じカーネル上で動いていても、別の名前空間に属するプロセスからは互いが見えません。

主な種類は次のとおりです。

• PID 名前空間：プロセス番号を分離。コンテナ内では自分が PID 1 に見える。
• ネットワーク名前空間：独自の IP アドレス・ポート・ルーティングを持つ。
• マウント名前空間：見えるファイルシステムの構成を分離する。
• UTS 名前空間：ホスト名を独自に持てる。
• ユーザー名前空間：コンテナ内の root を、ホストでは一般ユーザーに対応づける。
• IPC 名前空間：共有メモリなどの IPC 資源を分離する。

これらを組み合わせることで、コンテナ内のプロセスは 「自分専用の OS にいる」かのような景色 を得ます。実体はホスト上の1プロセスにすぎません。

cgroups：使える資源を制限する

名前空間は 見える範囲 を区切りますが、使える量 までは制限しません。それを担うのが cgroups（control groups） です。

cgroups は、プロセスのグループ単位で資源の 割り当て・制限・計測 を行います。

• CPU：使用できる CPU 時間の割合や上限
• メモリ：使用できる上限（超えると制限・強制終了の対象）
• ディスク I/O：読み書きの帯域
• デバイス：アクセスできるデバイスの制御

これにより、1つのコンテナが暴走して ホスト全体の資源を食い尽くす 事態を防げます。「このコンテナは CPU 0.5 個分、メモリ 512MB まで」といった制限は、cgroups が支えています。

カーネル共有ゆえの注意点

コンテナはホストのカーネルを共有するため、カーネルレベルでは完全には分離されていません。VM のような強固な境界はなく、カーネルの脆弱性を突かれると、隔離を越えてホストや他コンテナに影響が及ぶ可能性があります。

そのため、信頼できないコードを動かす場面では、ユーザー名前空間で root 権限を弱める、不要なシステムコールを制限する（seccomp）、追加の分離層を挟む、といった対策が併用されます。

まとめ

• コンテナは ホストのカーネルを共有 したまま隔離する、VM より 軽量 な仕組み。
• 名前空間 が「見える範囲（PID・ネットワーク・ファイル等）」を隔離する。
• cgroups が「使える資源（CPU・メモリ等）」を制限・計測する。
• カーネルを共有するため、強い分離が要る用途では追加対策や VM を検討する。

プロセスの基礎は プロセスとスレッド、隔離の前提となる権限分離は カーネルモードとユーザーモード も合わせてどうぞ。