現代を支える仮想化の仕組み @ 情報科学若手の会・セキュリティ若手の会 春の陣2026

TBD

Transcript

1. hoge 現代を支える仮想化の仕組み ＠情報科学若手の会・セキュリティ若手の会 春の陣2026 OJI
2. 自己紹介 OJI（@OldBigBuddha） SWE @ GMO Flatt Security Inc. Developing “Sunaba” / “Takumi Runner” TSKaigi 運営スタッフ seccamp ‘22 Bコース修了生 ミニキャンプ 2023 in 広島 講師
3. 今日の流れ 「仮想化」とはなにか 仮想化の種類 ハイパーバイザーとVM 「プロセス」という仮想化 「プロセス」から「コンテナ」へ
4. 「仮想化」とは何か
5. 「仮想化」とはなにか 形容詞 ほぼ、あるいは非常に近い記述内容であり、わずかな違いは問題にならない。 (“virtual certainty” で「ほぼ確実」とか「事実上確実」) コンピュータソフトウェアの使用によって存在するように見せかけるもの。 例えばインターネット上など。 実体が存在する訳では無いが、実体との差が問題にならないレベルの何か （実質同じ） 自動翻訳の最後の難問 - https://wirelesswire.jp/2020/02/74267/
6. 「仮想化」とはなにか 実体との差が 問題にならないレベルの何か
7. 「仮想化」とはなにか 「実体」は何？ 実体との差が 問題にならないレベルの何か
8. 「仮想化」とはなにか 物理的に存在するコンピューターとの 差が問題にならないレベルの何か
9. 「仮想化」とはなにか 物理的に存在するコンピューターとの 差が問題にならないレベルの何か 誰目線？いつの話？
10. 「仮想化」とはなにか プログラムが動いているときに 物理的に存在するコンピューターとの 差が問題にならないレベルの何か
11. 「仮想化」とはなにか プログラムが動いているときに 物理的に存在するコンピューターとの 差が問題にならないレベルの何か 何？
12. 「仮想化」とはなにか プログラムが動いているときに 物理的に存在するコンピューターとの 差が問題にならないレベルの 実行環境
13. 「仮想化」とはなにか プログラムが動いているときに 物理的に存在するコンピューターとの 差が問題にならないレベルの 実行環境を実現する技術 仮想化技術
14. 仮想化の種類
15. コンピューターの超ざっくり雰囲気 メモリ領域が 200 MiB 欲しい プログラム RAM のうち 領域Aを割り当てる OS ハードウェア 領域Aに都度データが 書き込まれる
16. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） プログラム1 プログラム2 ・ ・ ・ ・ プログラムN OS CPU メモリ ネットワーク インターフェース 外部記憶装置
17. 「仮想化」とはなにか プログラムが動いているときに 物理的に存在するコンピューターとの 差が問題にならないレベルの 実行環境
18. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） プログラム1 プログラム2 ・ ・ ・ ・ プログラムN OS ↓これら↑の依存に問題が生じなければOK CPU メモリ ネットワーク インターフェース 外部記憶装置
19. どうやって実現するか
20. コンピューターの超ざっくり雰囲気 メモリ領域が 200 MiB 欲しい プログラム RAM のうち 領域Aを割り当てる OS ハードウェア 領域Aに都度データが 書き込まれる
21. コンピューターの超ざっくり雰囲気 この2箇所に仮想化技術を挟む余地がある！ OS プログラム ハードウェア
22. コンピューターの超ざっくり雰囲気 この2つが現代の 主要な仮想化技術 プロセス/コンテナ ハイパーバイザー/VM OS プログラム ハードウェア
23. ハイパーバイザーとVM
24. コンピューターの超ざっくり雰囲気 メモリ領域が 200 MiB 欲しい プログラム RAM のうち 領域Aを割り当てる OS ハードウェア 領域Aに都度データが 書き込まれる
25. ハイパーバイザー メモリ領域が 200 MiB 欲しい プログラム RAM のうち 領域Aを割り当てる OS ハイパー バイザー ハードウェア 領域αに都度データ が書き込まれる 領域Aは 物理的には領域αだよ
26. ハイパーバイザー 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 仮想 ハードウェア プログラム プログラム ・ ・ ・ ・ プログラム Guest OS 1 Guest OS 2 ・ ・ ・ ・ Guest OS N 物理リソースを 良い感じに 各 Guest OS へ 割り振る 物理的には ひとつの ハードウェア
27. 「仮想化」とはなにか 実体との差が 問題にならないレベルの何か
28. ハイパーバイザー 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 仮想 ハードウェア プログラム プログラム ・ ・ ・ ・ プログラム Guest OS 1 Guest OS 2 ・ ・ ・ ・ Guest OS N 物理リソースを 良い感じに 各 Guest OS へ 割り振る 物理的には ひとつの ハードウェア
29. VM プログラム プログラム プログラム Virtual Machine(VM) ・ ・ ・ ・ Guest OS 1 Guest OS 2 Guest OS N ・ ・ ・ ・ 仮想 ハードウェア 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 物理的には ひとつの ハードウェア
30. コンピューターの超ざっくり雰囲気 物理コンピューター プログラム OS ハードウェア 同じ依存 VM プログラム Guest OS 仮想 ハードウェア
31. 補足: ハイパーバイザーの種類
32. ハイパーバイザー（Type-1） 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー Type-1 仮想 ハードウェア ハードウェアの上で 直接動いている 物理的には ひとつの ハードウェア プログラム プログラム ・ ・ ・ ・ プログラム Guest OS 1 Guest OS 2 ・ ・ ・ ・ Guest OS N
33. ハイパーバイザー（Type-2） 仮想 ハードウェア 仮想 ハードウェア OS ハイパー バイザー Type-2 仮想 ハードウェア プログラム プログラム ・ ・ ・ ・ プログラム Guest OS 1 Guest OS 2 ・ ・ ・ ・ Guest OS N 物理的には ひとつの ハードウェア OSの上で 動いている
34. ところで
35. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） プログラム1 プログラム2 ・ ・ ・ ・ プログラムN OS CPU メモリ ネットワーク インターフェース 外部記憶装置
36. ハイパーバイザー VM VM プログラム VM プログラム プログラム ・ ・ ・ Guest OS 1 Guest OS 2 Guest OS N ・ ・ ・ 仮想 ハードウェア 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 物理的には ひとつの ハードウェア
37. かなり似ていそう
38. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） OS 複数のプログラムが並列で動いても リソースが競合したり、影響がなるべく 他のプログラムへ影響がでないようにする CPU メモリ ネットワーク インターフェース 外部記憶装置 プログラム1 プログラム2 ・ ・ ・ ・ プログラムN
39. ハイパーバイザー VM VM プログラム VM プログラム プログラム ・ ・ ・ Guest OS 1 Guest OS 2 Guest OS N ・ ・ ・ 仮想 ハードウェア 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 物理的には ひとつの ハードウェア 物理リソースを 良い感じに 複数の Guest OS へ割り振る
40. OS自体が仮想化を行っている
41. プロセス（Prosess） という仮想化
42. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） プログラム1 プログラム2 プログラムN ・ ・ ・ ・ 仮想リソース 仮想リソース 仮想リソース CPU メモリ ネットワーク インターフェース 外部記憶装置 プロセス （Process）
43. OS は何をしているか？ ひとつのCPUコアにつき、処理できる演算はひとつまで では1コアCPUではひとつのプログラムしか実行できないのか → 否、プロセスとして各プログラムでひとつのCPUコアを共有している プロセスからみると、ひとつのCPUコアを独占しているように見える（仮想化） プロセス1 プロセス2 OS目線 実行 準備完了 Disk I/O 待ち 実行 準備完了 実行 ネットワーク待ち Disk I/O 待ち プロセス1目線 実行
44. コンピューターの超ざっくり雰囲気 ハードウェア（いわゆるPC） プログラム1 プログラム2 プログラムN ・ ・ ・ ・ 仮想リソース 仮想リソース 仮想リソース CPU メモリ ネットワーク インターフェース 外部記憶装置 プロセス （Process）
45. プロセスをコンテナへ
46. 「プロセス」は隔離性が薄い ハードウェア（いわゆるPC） プログラム1 プログラム2 プログラムN ・ ・ ・ ・ 影響あり 仮想リソース 仮想リソース 仮想リソース OS CPU メモリ ネットワーク インターフェース 外部記憶装置
47. コンテナ ハードウェア（いわゆるPC） プログラム1 プログラム2 プログラムN ✗ ・ ・ ・ ・ 影響 不可 ✗ コンテナ 仮想リソース 仮想リソース 仮想リソース OS CPU メモリ ネットワーク インターフェース 外部記憶装置
48. プロセスをより隔離するために プロセスはリソース効率を主軸に、そのために最低限必要な隔離のみ行っている プロセス1はプロセス2の存在を認知できるし、影響を与えることが出きる プロセスを完全に隔離するために、Linux では以下のコンセプトが存在する 名前空間(Namespace) 一番わかりやすい隔離、各リソースを仕切る壁のようなもの cgroup CPU やメモリなどのリソース利用率を制限する Capabilities root権限を細分化したもの Secure Computing Mode(seccomp) syscall の呼び出しを制限する LSM を活用した Mandatory Access Control（MAC） 厳格なファイルアクセス制御
49. コンテナ ハードウェア（いわゆるPC） プログラム1 プログラム2 プログラムN ✗ ・ ・ ・ ・ 影響 不可 ✗ コンテナ 仮想リソース 仮想リソース 仮想リソース OS CPU メモリ ネットワーク インターフェース 外部記憶装置
50. まとめ
51. 「VM」と「コンテナ」 VM VM プログラム プログラム Guest OS Guest OS 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー コンテナ コンテナ プログラム プログラム 仮想リソース 仮想リソース OS カーネル 物理 ハードウェア 物理 ハードウェア
52. 何を共有しているか VM プログラム VM プログラム Guest OS Guest OS 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 高難易度 物理 ハードウェア 物理 ハードウェア コンテナ コンテナ プログラム プログラム 仮想リソース 仮想リソース OS カーネル
53. こういうこともできる VM VM プログラム コンテナ コンテナ プログラム プログラム 仮想リソース 仮想リソース Guest OS 1 Guest OS 2 仮想 ハードウェア 仮想 ハードウェア ハイパー バイザー 物理的には ひとつの ハードウェア
54. 今日のまとめ プログラムが動いているときに物理的に存在するコンピューター上で
 実行するときとの差が問題にならないレベルの実行環境を準備する技術 仮想化の種類には「VM」と「コンテナ」が存在する 「VM」と「コンテナ」では共有するものが違っている 「コンテナ」の基礎である「プロセス」も仮想化技術のひとつ