ContainerDays 18.12 Runtime , Security, CRIU and BoF関連の資料など

# ContainerDays 18.12 に参加して

[JapanContainerDays v18\.12](https://containerdays.jp/)

  発表はどれもおもしろく、また、kubernetesの勢いを非常に感じました。
来年は、CloudNativeDaysになるようなので、さらに、おもしろい感じになりそうだなと思いました。あとCNCFによる、日本でのイベントもあるようです。

  参加した中でもとりわけ面白かった、Container Runtime BoFの話について、関連がありそうな発表と、資料などまとめてみました。
 


## Container Runtime BoF

NTTの須田さんと、サイバーエージェントの、長谷川さんの司会で、非常に勉強になる BoF でした。

詳しくは以下の議事録を読んでいただくのが良いかと思います。

- [Container Runtime BoFの議事録](https://docs.google.com/document/d/14U_d5PLgcB25nja4Ox9VHF9AjuVWqxzWGso1xkcvg1Y/edit)

### BoFで、でていたコンテナ関連のセキュリティ技術について

- CNCF では、[Falco \- Container Native Runtime Security](https://falco.org/) というプロジェクトがある
  - [Sysdig \| Falco joins CNCF Sandbox\.](https://sysdig.com/blog/falco-cncf-sandbox/)
  - ただし、Falcoが、kubernetesを前提にしているかもしれないので、そのあたりはよく調査したほうが良いかもしれません。
- サービスとしては、以下の２社が有名っぽい？（aquaは話題になっていたとおもいますが、もう１つの方は、たしかこんな名前ではなかったかと。）
  - aquasec
      - [Container Audits and Compliance](https://www.aquasec.com/wiki/display/containers/Container+Audits+and+Compliance)
      - こっちはブースも出ていた気がします。。
  - neuvector
      - [Container Vulnerability Scanning, Auditing, and Compliance \- NeuVector](https://neuvector.com/container-compliance-auditing-solutions/)
- ただし、これらだけでは十分かどうかわからない。
    - コンテナから通信して、何かのスクリプトを取得する場合、その通信は、おそらく暗号化されている
    - そのため、ビヘイビアで監視していくしかないのではないか？という話もありました。
    - その場合、監視の仕方によっては、パフォーマンスがかなり落ちるらしいので、その場合も、何を選ぶか注意することみたいです。



### 感想など

名前しか聞いたことがないような、プロジェクトも実際試したり、実際使用してのコメントなどいろいろ面白かったです。

- [cri\-o](https://cri-o.io/)
    - LIGHTWEIGHT CONTAINER RUNTIME FOR KUBERNETES
- [Kata Containers \- The speed of containers, the security of VMs](https://katacontainers.io/)
- [Nabla containers: a new approach to container isolation · Nabla Containers](https://nabla-containers.github.io/)

- [firecracker\-microvm/firecracker: Secure and fast microVMs for serverless computing\.](https://github.com/firecracker-microvm/firecracker/)
    - [Introducing Firecracker, a New Virtualization Technology and Open Source Project for Running Multi\-tenant Container Workloads](https://aws.amazon.com/about-aws/whats-new/2018/11/firecracker-lightweight-virtualization-for-serverless-computing/)
- [Podman \| podman\.io](https://podman.io/)

またdockerで、device mapper や AUFSがdeprecatedになる（すでになっている？）という話や、filesystem, network, 高集積環境での挙動の話、（ウェブ）ホスティングとかの話もあり、rootless関連の話もあり、HPCもちょっとでてきたりで大変有意義でした。

あとこんなチップスも
> Overlayがうまく動かない場合はvfsドライバ
XFSならcopy_file_rangeでCoWできる



# 関連する発表、資料など

もれがあるかもしれませんが、３つ関連しそうな発表がありました。

## 今すぐ役に立つテクニックから，次世代技術まで


NTTの[須田さん](https://twitter.com/_AkihiroSuda_)の発表スライド及び、発表後のご自身によるレポート。

- 発表スライド
    - [Dockerセキュリティ: 今すぐ役に立つテクニックから，次世代技術まで](https://www.slideshare.net/AkihiroSuda/docker-125002128)
- ご自身によるレポート
    - [Dockerセキュリティ:
今すぐ役に立つテクニックから，次世代技術まで \[Japan Container Days発表レポート\]](https://medium.com/nttlabs/japan-container-days-8ddb0e53e93a)

rootless 関連で、須田さんによる、docker (moby) への以下のパッチが非常に楽しみです。
このパッチに関する情報がきけたのも非常に良かったです。
- パッチ
    - [Allow running dockerd as a non\-root user \(Rootless mode\) by AkihiroSuda · Pull Request \#38050 · moby/moby](https://github.com/moby/moby/pull/38050)



## runcだけじゃない、コンテナ low level runtime 徹底比較

Container Runtime BoF の司会をされていた、
サイバーエージェントの、[長谷川さん](https://twitter.com/makocchi)の、このイベントでの、発表資料です。

- 発表資料
    - [runcだけじゃない、コンテナ low level runtime 徹底比較](https://speakerdeck.com/makocchi/jkd-20181205-about-low-level-runtimes)


## CRIUの概要とその活用 - 未来のコンテナ技術について

GMOペパボの、[近藤さん](https://twitter.com/udzura)のCRIU関連の発表

- スライド
    - [Introduction to CRIU \- Speaker Deck](https://speakerdeck.com/udzura/introduction-to-criu)
- ご自身によるレポート
    - [JapanContainerDays v18\.12 でCRIUに関して発表してきた \- ローファイ日記](https://udzura.hatenablog.jp/entry/2018/12/06/003129)
    - > 発表中、デモをしたので、特に反響があった Haconiwa + CRIU によるRailsコンテナのライブマイグレーション のデモ動画を置いておきます。
    - ライブマイグレーションの話もおもしろかったです。