LPIC-3 仮想化・コンテナ化コンテナーの分離とリソース制御オリジナル・公式資料照合難易度★★★★☆
Linuxのコンテナーで、アプリには管理用capabilityが不要で、特定の不要なシステムコールも禁止したい。名前空間の分離とcgroupによる資源上限は既に設定した。役割を区別した追加策はどれか。
A
cgroupのCPU上限を下げれば、全システムコールの許否もその値で決まる
CPU quotaは資源の配分です。seccompのようなシステムコールフィルターではありません。
B
コンテナー内UIDが0なら、namespaceやcapabilityに関係なくホストの全操作を必ず行えるとみなす
権限はuser namespaceやcapability等の条件にも依存します。一方でコンテナー内rootだから常に無害という意味でもありません。
C
不要なcapabilityを削り、適切なseccomp filterで不要なシステムコールを制限し、必要に応じMACも併用する★ 正解
capabilityで特権を絞り、seccompで呼出しを制約し、MAC等も必要に応じ重ねます。分離と資源制限だけで代替しません。
D
mount namespaceを分けるだけで、すべてのシステムコールが自動的に許可リスト化される
mount namespaceはマウントの見え方等を分離しますが、任意のシステムコールを自動的に選別するフィルターではありません。
解説
namespaces、cgroups、capabilities、seccomp、SELinux/AppArmor等は別の制御です。互いの役割を取り違えず、実際のアプリに必要な最小の権限・呼出し・アクセスを許可します。
根拠資料・確認情報
対応範囲：LPIC3 305-300 v3.0
資料確認日：2026-10-28
同じレッスンの問題
問題 1
Linuxホストの管理者が、ホストPID 4321のコンテナープロセスと同じnetwork namespace内でインタフェース情報だけを調べたい。必要な権限はあり、PIDは有効である。ほかのnamespaceへ入る指定はせず、適切な操作はどれか。
問題 2
Linux cgroup v2で、通常のfair schedulerのタスクだけを含むグループへcpu.max="200000 100000"を設定した。cpu.max.burstは0、上位の制限はなく、4CPUで十分な実行機会がある。quotaとperiodはマイクロ秒である。定常的なCPU帯域の上限の説明として正しいのはどれか。
問題 4
コンテナー基盤の構成を確認する。OCI Image Specification、OCI Runtime Specification、containerd、runcを同じものとして扱わない説明はどれか。Linuxの通常のプロセス型コンテナーを対象とする。