Windows Containers Base OS Image "Important" Update

例の CPU 脆弱性（Meltdown & Spectre）問題ですが、Windows コンテナーの場合は、コンテナーホスト側の対策（OSの2018-01セキュリティ更新＋軽減策の有効化＋ファームウェア更新）＋最新のベース OS イメージで対策できるようです。

Windows Server guidance to protect against speculative execution side-channel vulnerabilities
[URL] https://support.microsoft.com/en-us/help/4072698/

"Q6: Are there any Windows Server container-specific guidelines?（Windows Server コンテナー固有のガイドラインってないの？）

A6: The January update for Windows Server container images for Windows Server 2016 and Windows 10 Version 1709 include the mitigations for this set of vulnerabilities, and no additional configuration is required. （1月更新の Windows Server コンテナー イメージにはこの脆弱性用の軽減策が含まれているよ、だから追加の構成は必要ないよ。）

Note You still have to make sure that the host on which these containers are running is configured by using the appropriate mitigations.（でもね、対策済みコンテナーを実行するホスト側では、適切な軽減策を構成しておく必要があるよ。）"

Windows Server 2016 ベースの 10.0.14393.2007 バージョン（latestまたは10.0.14393.2007タグ）と Windows Server バージョン 1709 ベースの 10.0.16299.192 （1709または1709_KB4056892タグ）がリリースされています。

PUBLIC REPOSITORY microsoft/windowsservercore（Docker Hub）
[URL] https://hub.docker.com/r/microsoft/windowsservercore/tags/
PUBLIC REPOSITORY microsoft/nanoserver（Docker Hub）
[URL] https://hub.docker.com/r/microsoft/nanoserver/tags/

Windows Server バージョン 1709 ホストと コンテナー ベース OS イメージを更新してみた。ホストは Sconfig では更新が来なかったので、wget で更新プログラムをダウンロードしてインストール。更新プログラムの URL は別の PC の Microsoft Edge や Firefox  で Microsoft Update Catalog にアクセスすると直リンクをコピーできます（IE だとこれができない）。

対策済みの物理ホストがない（ファームウェアを入手できていない）のであれですけど、ホストと Windows Server コンテナーの両者の Get-SpeculationControlSettings の結果は...

Windows Server version 1709 と Windows 10 ver 1709 と Hyper-V

※ちょっと表現を訂正。Windows Server 1709 → Windows Server バージョン1709 (大事なことらしい)


MSDN サブスクライバー（やボリュームライセンス） で、Windows 10 Fall Creators Update バージョン 1709 と Windows Server 1709 (Current Channel) のメディアが利用可能になりました。いずれも新規インストールで 10.0.16299.15、その後のWindows Update のKB4043961で16299.19になります。

Windows Server Current Channel は Server Core だけなので、とりあえず Windows Server 2016 Hyper-V 環境の 2 台の仮想マシンに Windows Server バージョン1709 と Windows 10 Enterprise 評価版とセットアップして、Windows Server バージョン1709 の Hyper-V および Hyper-V 管理環境を作ってみました。仮想マシンの構成バージョンは 8.2。

スタンドアロンだと Hyepr-V の認証まわりのセットアップが面倒そうなので（Server Core だとなお面倒）、どちらも Active Directory ドメインに参加させて、ドメインの Administrator で接続すれば、Hyper-V のリモート管理については何も設定不要。

Docker 環境をセットアップすれば、1709 バージョンの microsoft/windowsservercore（タグ:1709）と microsoft/nanoserver （タグ:1709）も利用できるようですが、公式ドキュメントがまだ Insider Preview ベースなので、もう少し様子を見ますです。Linux コンテナーのサポートは、やっぱりまだプレビューのようです。

10/19 追記) ちょっと情報が出ました。1709 ベースのコンテナーイメージは下位互換なし（Windows Server 2016 のコンテナー環境では動かない） ということでした。

Container Images are now out for Windows Server version 1709!
[URL] https://blogs.technet.microsoft.com/virtualization/2017/10/18/container-images-are-now-out-for-windows-server-version-1709/

"It is important to note that while older versions of the base OS container images will work on a newer host (with Hyper-V isolation), the opposite is not true. Container images based on Windows Server version 1709 will not work on a host using Windows Server 2016."

こちらのドキュメントは、まだ「Windows Insider Quick Start」なので、もう少し様子見。（DockerMsftProviderInsider を使うのか、DockerMsftProvider を使っても動くのか、明確になるまで）

Windows Containers on Windows Server
[URL] https://docs.microsoft.com/en-us/virtualization/windowscontainers/quick-start/quick-start-windows-server