seccomp - CI/CD用語集の定義

seccomp (secure computing mode) は、プロセスが実行できるシステムコールをフィルタリングする Linux カーネル機能です。container runtime は危険な syscall をブロックするデフォルトの seccomp profile を適用します。

多層防御

seccomp profile は、container が決して必要としないはずの syscall (例えばカーネルモジュールの読み込み) を呼び出すのを防ぎ、capability が考慮される前の段階でも、悪用された CI job ができることを制限します。