Notary（ノータリー）

2025年11月5日

Notary（ノータリー）

英語表記: Notary

概要

Notaryは、コンテナ技術（Docker, Podman）のエコシステムにおいて、コンテナイメージのセキュリティと信頼性を保証するために設計されたオープンソースツールです。具体的には、イメージが信頼できる発行元によって署名され、レジストリから取得する過程で一切改ざんされていないこと（完全性）を検証する役割を担っています。これにより、悪意のあるイメージが本番環境で実行されるリスクを防ぎ、コンテナ環境のイメージセキュリティを劇的に向上させることができる、非常に重要な仕組みなのです。

詳細解説

Notaryは、コンテナイメージの「レジストリと配布」という中間フェーズにおけるセキュリティ上の脆弱性に対処するために開発されました。イメージが安全に開発者の手を離れ、エンドユーザーに届くまでのサプライチェーン全体を保護することが、その最大の目的です。

目的：イメージセキュリティの確保

従来のコンテナ配布では、イメージがレジストリにプッシュされた後、そのレジストリが侵害された場合、ユーザーは気づかずに改ざんされたイメージをプルしてしまう可能性がありました。Notaryは、このリスクに対し、デジタル署名という確固たる証明手段を提供します。署名されたイメージは、署名された時点の内容が固定され、ユーザー側でその署名を検証できなければ利用が拒否されます。これは、私たちが安心してコンテナベースのシステムを運用するための、強力な基盤と言えるでしょう。

仕組みの基盤：TUFの採用とトラストデータ

Notaryの堅牢性は、セキュリティアップデートシステムを保護するための標準規格であるTUF (The Update Framework)に基づいています。TUFは、たとえ一部の鍵が攻撃者に盗まれたとしても、システム全体の信頼性が損なわれないように設計されており、Notaryはこの設計思想をコンテナイメージに適用しています。

主要な構成要素は以下の通りです。

Notary Client: 開発者やユーザーが利用するツールです。開発者はイメージに署名するために使用し、ユーザーはイメージをプルする際にその署名を検証するために使用します。
Notary Server: イメージそのものではなく、イメージに関連付けられたトラストデータ（信頼情報）を保管するサーバーです。イメージは通常のレジストリに置かれたままですが、その「信頼性の証明書」だけがNotary Serverで厳重に管理されます。
トラストデータ（デジタル署名と鍵）: Notaryの核心です。発行者が秘密鍵を用いてイメージのハッシュ値に署名し、その署名と公開鍵の情報がトラストデータとして扱われます。

レジストリと配布における動作原理

Notaryがどのように「レジストリと配布」のプロセスに介入し、セキュリティを確保しているかを見てみましょう。

署名（プッシュ時）: 開発者は、Notary Clientを使用してイメージにデジタル署名を付与します。この署名操作により、イメージのハッシュ値が計算され、開発者の秘密鍵で暗号化されます。この署名情報がNotary Serverに保存されます。
検証（プル時）: ユーザーがイメージをプルしようとすると、Notary ClientはまずNotary Serverに問い合わせ、該当イメージのトラストデータ（公開鍵と署名）を取得します。
完全性の確認: クライアントは、取得したイメージのハッシュ値をローカルで計算し、トラストデータ内の署名を公開鍵で復号して得られたハッシュ値と比較します。
実行可否の判断: 両者のハッシュ値が完全に一致した場合のみ、「イメージは改ざんされておらず、信頼できる」と判断され、コンテナの実行が許可されます。

このプロセスを通じて、Notaryはレジストリという中間層のセキュリティが一時的に破られたとしても、ユーザー側で最終的な信頼性を検証できる環境を提供しています。これは、コンテナ技術の普及において、信頼性の担保という点で非常に大きな安心感を与えてくれますね。

鍵管理の堅牢性

Notaryがただのデジタル署名システムと一線を画すのは、鍵管理の堅牢さにあります。TUFの設計に基づき、Notaryは複数の役割に鍵を分割しています（ルート鍵、ターゲット鍵、スナップショット鍵など）。例えば、最も重要な「ルート鍵」はオフラインで厳重に保管され、日常的な署名には使用されません。日常的に使用される「ターゲット鍵」が万が一漏洩しても、ルート鍵が安全であれば、システム全体をリセットして信頼性を回復することが可能です。このような多層的なセキュリティ設計が、長期的なイメージセキュリティを支えているのです。

（文字数調整のための拡張：鍵の役割分割の重要性を強調）

Notaryにおける鍵の役割分割、特に「委任（Delegation）」の概念は、大規模な組織でのコンテナ開発において特に重要です。組織には複数のチームや個人が存在し、それぞれが異なるコンポーネントのイメージを作成します。Notaryは、ルート鍵の所有者が、特定のチームや個人に対して、特定のイメージタグ（例：frontend:*）に対する署名権限を委任することを可能にします。これにより、セキュリティを維持しつつ、開発のスピードを落とさない柔軟な運用が可能になるわけです。この高度なトラスト管理こそが、エンタープライズレベルでの「レジストリと配布」の安全性を保証する鍵となっています。