namespaces（ネームスペース）
英語表記: namespaces
概要
ネームスペース（namespaces）は、コンテナ技術（Docker, Podman）の土台を支えるLinuxカーネルの根幹機能です。これは、カーネルが持つグローバルなリソース（プロセスID、ネットワークインターフェース、ファイルシステムなど）を、コンテナごとに完全に隔離された専用の空間として提供するための仕組みです。各コンテナに「自分専用のOS環境がある」という錯覚を与えることで、セキュリティを確保し、軽量で高速なコンテナ仮想化を実現しています。
この機能こそが、私たちがコンテナを安心して利用できる理由であり、コンテナの基礎を理解する上で絶対に欠かせない要素だと断言できます。
詳細解説
1. 隔離の目的とコンテナとの関係
ネームスペースの最大の目的は「リソースの隔離（アイソレーション）」です。コンテナ技術は、ホストOSのカーネルを共有しながら動作します。もし隔離がなければ、コンテナ内のプロセスがホストOSの全プロセスを見たり、ネットワーク設定を変更したりできてしまい、セキュリティ上の大きな問題となります。
DockerやPodmanがコンテナを起動する際、ホストOSのカーネルに対し、特定のシステムコール（例: clone()）を通じて新しい一連のネームスペースを作成するよう指示します。これにより、コンテナ内のプロセスは、ホスト環境から切り離された、自分だけの世界で動作できるようになるのです。これは、コンテナ技術（コンテナの基礎）において、リソースの「制限」（cgroupsの役割）と並ぶ、リソースの「分離」（ネームスペースの役割）を担う非常に重要なLinux カーネル機能です。
2. 主要なネームスペースの種類
コンテナの完全な隔離を実現するためには、複数の種類のネームスペースが組み合わせて使用されます。主要な種類を理解すると、コンテナがどのように動いているのかが具体的に見えてくるはずです。
| ネームスペース | 役割 | 隔離されるリソース |
| :— | :— | :— |
| PID (Process ID) | プロセスIDの隔離 | 各コンテナは独自のプロセスツリーを持ち、ホストのプロセスIDを参照できません。コンテナ内のプロセスは必ず「1」から始まります。 |
| NET (Network) | ネットワークの隔離 | 各コンテナは独自のネットワークスタック（IPアドレス、ルーティングテーブル、ネットワークインターフェース）を持ちます。 |
| MNT (Mount) | マウントポイントの隔離 | ファイルシステムのマウント構造を隔離します。コンテナ内のルートファイルシステムはホストのファイルシステムとは独立しています。 |
| UTS (UNIX Time-sharing System) | ホスト名とドメイン名の隔離 | 各コンテナに独自のホスト名を設定できます。 |
| IPC (Inter-Process Communication) | プロセス間通信の隔離 | 共有メモリやセマフォなど、プロセス間通信のリソースを隔離します。 |
| USER (User ID) | ユーザーIDの隔離 | コンテナ内のユーザーIDをホストOSの異なるユーザーIDにマッピングすることで、権限昇格のリスクを軽減します。セキュリティ上、非常に重要視されています。 |
| Cgroup | cgroupsの隔離 | cgroupsの階層構造自体を隔離し、コンテナがホストのcgroups設定を操作できないようにします。 |
これらのネームスペースが連携することで、コンテナはホストOS上に「ミニOS」のような環境を構築できるわけです。この多層的な隔離構造こそが、コンテナ技術のセキュリティと柔軟性の源泉なのですね。
具体例・活用シーン
アナロジー：マンションの一室
ネームスペースの働きを理解するための最も分かりやすい例は、巨大な高層マンションです。
ホストOSのカーネルが「マンション全体」だと考えてください。このマンションには、電気、水道、管理システムといった共有インフラがあります。
- コンテナ起動（入居）: DockerやPodmanがコンテナ（部屋）を起動すると、新しいネームスペースが割り当てられます。
- PIDネームスペース（部屋番号）: マンション全体で使われている住所や部屋番号（ホストのPID）とは別に、各部屋の中では独自の番号付けが行われます。あなたの部屋の玄関は必ず「1番」であり、部屋の中の時計は「2番」かもしれません。隣の部屋（別のコンテナ）の番号付けを気にする必要はありません。
- NETネームスペース（電話回線）: 各部屋には独立した電話回線やWi-Fi（ネットワークスタック）が提供されます。隣の部屋の電話番号やインターネット接続設定を知る必要はありませんし、勝手に設定を変えることもできません。
- MNTネームスペース（クローゼット）: 各部屋には独立したクローゼットや収納棚（ファイルシステム）が与えられます。隣の部屋の収納の中身（ホストのファイルシステム）を勝手に覗いたり、変更したりすることはできません。
このように、ネームスペースは、共有されている大規模なリソースの中に、個々の利用者に「自分専用のプライベート空間」を提供するために必須の機能なのです。この隔離があるからこそ、私たちは複数のアプリケーションを一つのサーバー上に安全かつ効率的にデプロイできるわけです。
資格試験向けチェックポイント
ネームスペースは、特に応用情報技術者試験や、基本情報技術者試験のテクノロジ系で、コンテナ技術の仕組みを問う問題として頻出します。
- 最重要概念: コンテナ技術は、ネームスペース（隔離）とcgroups（制限）という二大Linux カーネル機能によって成り立っていることを必ず覚えておきましょう。特に「隔離」を担当するのがネームスペースです。
- 仮想化技術の比較: ハイパーバイザ型仮想化（VMware, Hyper-Vなど）がハードウェアをエミュレートしてOS全体を隔離するのに対し、コンテナ型仮想化は「OSカーネルの機能（ネームスペースとcgroups）を利用してリソースを論理的に隔離する」点が決定的な違いです。この軽量性がコンテナの強みであると理解してください。
- PID 1問題: コンテナ内で起動するメインプロセスがPID 1となるのは、PIDネームスペースによる隔離の結果です。試験では、この隔離の具体的な影響を問われることがあります。
- セキュリティ対策: ネームスペースの中でも、特にUSERネームスペースは、コンテナ内のroot権限とホストOSのroot権限を分離する役割があるため、セキュリティ関連の問題で問われることが多い機能です。
関連用語
ネームスペースは単独で機能するわけではなく、他のLinux カーネル機能と連携してコンテナを構成しています。
- Cgroups (Control Groups): ネームスペースが「リソースの隔離」を担当するのに対し、CgroupsはCPU時間、メモリ容量、I/O帯域といったリソースの「制限」を担当します。コンテナの基礎を語る上で、ネームスペースとCgroupsは車の両輪のような関係です。
- Union File Systems (例: OverlayFS): MNTネームスペースと密接に関連し、コンテナの軽量なファイルシステム層を実現します。
- Seccomp (Secure Computing Mode): カーネルのシステムコール利用を制限し、コンテナのセキュリティを高めます。
- 関連用語の情報不足: 現時点では、上記の関連用語に関する詳細な定義や、それらがネームスペースとどのように連携するかの深い解説情報は提供されていません。特に、Cgroupsとネームスペースの機能的な違いを明確にした説明が必要だと感じています。
