LinuCレベル3 プラットフォームスペシャリスト コンテナ技術の利用 問3
コンテナ技術の利用／コンテナの基本原理と内部構造gVisorやkata-containersのような「サンドボックス型」のコンテナランタイムを使う主な目的として適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル3 プラットフォームスペシャリストの出題範囲「コンテナ技術の利用」に対応。実際の試験問題ではありません）
- A複数のホストにまたがってコンテナを配置・再スケジュールし、ノード障害時には別ノードで起動し直す
- Bホストカーネルを直接共有し、システムコールを追加の層を介さず実行させて性能を高める
- C通常のコンテナより強い分離境界（ユーザー空間カーネルや軽量VM）を設け、信頼できないコンテナからホストを守る
- Dコンテナイメージの署名を検証し、署名の無いイメージの実行をホスト側で禁止する
正解：C
解説
gVisorはユーザー空間に実装された独自のカーネル相当の層でシステムコールをインターセプト・処理することでホストカーネルへの直接アクセスを制限し、kata-containersは各コンテナを軽量な仮想マシンとして動作させることでカーネルレベルの分離を実現します。いずれも、通常のnamespace/cgroupsベースのコンテナ（ホストカーネルを直接共有する）よりも強い分離境界を提供し、信頼性の低いワークロードを安全に動かすことを目的としています。
選択肢ごとの解説
- A誤り。複数ホストにまたがる配置や再スケジュールはKubernetes等のオーケストレータの役割です。
- B誤り。サンドボックス型はむしろ層を1つ挟むため性能上は不利で、性能向上を目的とした仕組みではありません。
- C正しい。gVisorはユーザー空間のカーネル相当層で、kata-containersは軽量VMで、通常のコンテナより強い分離境界を設けます。
- D誤り。イメージ署名の検証はコンテンツトラストやポリシーエンジンの役割で、サンドボックス型ランタイムの目的ではありません。