コンテナの分離はHome Assistantのリソースアクセスにどのような影響を与えますか？

コンテナの分離により、ホストとの境界を越えて Home Assistant がリソースにアクセスするには、明示的なマウント、デバイスマッピング、ネットワークパス、ユーザー、ケイパビリティが必要になります。

コンテナからは /config というパスが見えていても、ホスト上の他のディレクトリをすべて認識できるとは限りません。また、通常の IP デバイスには到達できても、マルチキャストサービスを検出できないことがあります。USB 無線機器、Bluetooth アダプター、シリアルポート、1024 未満のポート、ホストが所有するファイルには、それぞれ個別の権限チェックが加わります。したがって、分離によって封じ込めは強化されますが、必要な各リソースは、意図的に設定された境界を越えなければなりません。

マウントによってコンテナ内に存在する永続ファイルが決まる

コンテナには独自のファイルシステムビューがあります。バインドマウントと名前付きボリュームによって、選択したホストデータだけが公開されるため、一見有効なコンテナパスでも、空のボリューム、読み取り専用マウント、または運用者が想定したものとは異なるホストディレクトリを指している可能性があります。

Docker デプロイメントの分析では、ストレージ構成とバックアップ設計を関連付けて検討します。そのため、Home Assistant の設定やデータベースの動作を診断する前に、コンテナのストレージマッピングを最初に確認すべきアクセス契約と考えます。

永続性を決めるのは、コンテナレイヤーが書き込み可能に見えるかどうかではなく、マウントされたソースです。前回の実行中に変更が機能していても、マウントされていない変更はコンテナを再作成すると失われる可能性があります。

マウント越しでもユーザー ID とモードビットは適用される

ホストカーネルは、マウントされたファイルに対して所有権と権限を評価します。コンテナ内の数値ユーザーはホスト上のアカウント名と異なる場合があり、その結果、読み取りに失敗したり、root 所有のファイルが作成されたり、あるイメージでは開けるデータベースが別のイメージでは開けなかったりします。

所有権の分析では、名前を一致させるだけでは不十分な理由と、数値 UID と GID のマッピングが境界の両側で共有される数値 UID と GID に依存する理由を説明しています。

privileged で実行すると不一致を隠せますが、ファイルを大きく超える権限を与えることになります。より安全な対処は、所有権を揃え、Home Assistant が実際に必要とするディレクトリと操作だけを許可することです。

ネットワークモードによって検出と到達性が決まる

ブリッジネットワークでは、コンテナに分離されたインターフェースと変換されたポートが与えられます。ホストネットワークではホストのネットワークスタックを共有するため、マルチキャスト検出、ブロードキャストプロトコル、コールバックを簡単にできる一方、ネットワーク分離が弱まり、ポート競合が発生する可能性があります。

Home Assistant でホストモードを避ける方法についての議論では、環境によっては明示的なルーティングやリレーによってコンテナの検出境界を再構築できることが示されています。ただし、すべての検出プロトコルが同じように動作するわけではありません。

直接 IP での制御は機能するのに自動検出が失敗する場合、マルチキャストまたはブロードキャストの境界が原因である可能性が高いです。両方とも失敗する場合は、検出そのものよりも、ルーティング、ファイアウォール、DNS、またはアドレス選択を疑うべきです。

Featured

ZimaCube 2 パーソナルクラウドホームNAS

ZimaCube2

$799.00 - $2,499.00

Buy Now

デバイスとカーネル機能には明示的な委譲が必要

USB シリアル無線機器、Bluetooth、GPIO、ハードウェアアクセラレーション、低レベルのネットワーク操作は、ホストのデバイスノード、カーネルドライバー、グループ、ケイパビリティに依存します。デバイスパスのマッピングは必要ですが、権限や cgroup ポリシーによってアクセスが拒否される場合は、それだけでは不十分なことがあります。

Kubernetes のデプロイメントに関する説明では、オーケストレーションによってストレージ、ネットワーク、デバイスに関する制約が追加されることを示しており、多層的な分離制約が分離レイヤーを追加するたびに増えることが分かります。

この仕組みで解決できるのは、ハードウェアやドライバーの障害までです。ホスト自体が無線機器やデバイスを使用できない場合、コンテナの権限を変更しても元の障害が分かりにくくなるだけです。コンテナの権限を拡大する前に、ホストからのアクセスを確認してください。

ホストからプロセスまでのアクセスを監査する

必要なパス、ポート、マルチキャストドメイン、デバイス、UID、GID、ケイパビリティ、依存関係をすべて列挙します。それぞれについて、まずホストからのアクセスをテストし、次にコンテナのマッピングを確認し、その後、実際のコンテナプロセスの ID でテストします。

ホストとブリッジのトレードオフでは、Home Assistant におけるホストネットワークとブリッジネットワークを比較し、ネットワーク監査におけるトレードオフの境界を示しています。

設定の読み書き、データベースの永続化、ローカルデバイス制御、検出、再起動、バックアップの復元テストに合格できる最小限の権限セットを維持します。前のテストによって不足している境界が証明された場合にのみ、マウント、デバイス、グループ、またはケイパビリティを 1 つずつ追加してください。