コンテナを操作するコンテナを安全に運用するための DinD という落とし所 - コドモン Product Team Blog

こんにちは。エンジニアのjunです。 少し前に、ローカルAWSエミュレータとしてFlociを利用し始めた話を書きました。 ホイシルの開発環境では、Cognito や S3、Lambda といった AWS の依存をローカルで完結させるために Floci というローカル AWS エミュレータを使っています。 その記事では「Floci にホストの docker.sock は渡さない方針にしています」とだけ書き、理由には踏み込みませんでした。本記事はその補足です。「コンテナを操作するコンテナ」に Docker daemon をどう渡すかを、docker.sock 直渡し、socket-proxy による制限、使い捨ての隔離 DinD の順に整理します。例として Floci の Lambda 実行を使いますが、考え方はツールを問いません。 コンテナを操作するコンテナという構図 コドモンには、HTML