ホスト−コンテナ間でのユーザー/グループの分離 続いては、Dockerが持つ権限分離機構について紹介していこう。Dockerのデフォルト設定ではコンテナ内のプロセスはroot権限で実行される。Dockerではgroupやnamespaceといった機構を使ってコンテナ内のプロセスをほかのプロセスからアクセスできないよう分離しているが、コンテナ外から見るとコンテナ内のプロセスは特権を持っているように見えてしまうのだ。コンテナ内のプロセスがコンテナ内のファイルシステムにのみアクセスするのであれば問題は無いが、ボリュームなどの機構を使ってホストのディレクトリをマウントする場合、コンテナ内のプロセスはroot権限でマウントしたディレクトリにアクセスできてしまう。 たとえば、以下のように-vオプションを利用してホストのルートディレクトリをコンテナの/hostrootディレクトリにマウントした場合、コン
![【Dockerの最新機能を使ってみよう】Dockerコンテナで利用できるリソースや権限を制限する 2ページ | OSDN Magazine](https://cdn-ak-scissors.b.st-hatena.com/image/square/9ba13ebcc29439378ffd8d94187d505205b05968/height=288;version=1;width=512/https%3A%2F%2Fmag.osdn.jp%2Fimages%2F2017%2F03%2Fdocker-cpu-share.png)