DockerとActiveStateが業務提携、コンテナ基盤からオープンソース依存関係まで一貫保護へ

要点

• 米Dockerと米ActiveStateが、エンタープライズ向けコンテナセキュリティに関するリセリング提携を発表した。

• 堅牢化ベースイメージと管理パッケージを統合し、コンテナ基盤から依存ライブラリまでを一貫して保護する。

• 調査ではDevSecOps責任者の91%が構成要素の可視性を盲点と指摘しており、AI普及や規制強化で対策が急務となっている。

• 両社ともソースからビルドし、SLSA Level 3準拠の来歴管理と迅速な脆弱性修正SLAを提供する。

• 本提携によるソリューションは即時提供されている。

• 米Docker（Docker, Inc.）と米ActiveStateは2026年10月22日、エンタープライズのコンテナセキュリティを強化するリセリング（再販）提携を発表した。Dockerの堅牢化ベースイメージ「Docker Hardened Images（DHI）」とActiveStateのキュレーション済みパッケージを統合する。これにより、コンテナ基盤からその上で動く各種ライブラリの依存関係まで、ソフトウェアスタック全体を一貫して保護する手法を提供するという。

コンテナ内部の「可視性の欠如」と急増する依存関係

コンテナ運用では、ベースイメージを堅牢化しても、その上で稼働するコンポーネントの実態を把握しきれない課題がある。北米のDevSecOps（開発・セキュリティ・運用の一体化手法）責任者250人への調査では、91%がベースイメージではなく「その上に重なる構成要素への可視性」を最大の盲点に挙げた。また90%が、堅牢化が不十分な公開イメージを軽微な改変のみで運用していると回答している。

背景にはAIコーディングツールの普及がある。レビュー能力を超える速度で依存関係が追加され、脆弱性データベースの登録処理も追いついていない。加えてEUサイバーレジリエンス法（CRA）等の規制強化により、脆弱性対処やサプライチェーンの透明性確保が急務となっている。

基盤層を保護する「Docker Hardened Images」

コンテナ基盤層を担う「Docker Hardened Images（DHI）」は、攻撃対象領域を従来比で95%削減した最小限イメージ群だ。ソースコードからビルドされた4,000以上のイメージを含み、既知の脆弱性（CVE：共通脆弱性識別子）がほぼゼロの状態で提供される。

デジタル署名付きSBOM（ソフトウェア部品表）とSLSA（サプライチェーン安全基準）Build Level 3準拠の来歴情報が付与される。基本カタログはApache 2.0ライセンスの無償OSSとして公開され、商用層では緊急・重要CVEへの7日間の修正SLA（サービス水準合意）が提供される。

上層の依存関係を保護する「ActiveState」

その基盤上に追加される依存関係は、ActiveStateのキュレーションカタログが保護する。Python、JavaScript、Java、Perl、Tcl、Rubyなど12以上の言語エコシステムに対応する。

全コンポーネントがソースからビルドされ、SLAに基づき継続的に保守・修正される。一般的なコミュニティ版比でCVEを95%削減し、修正速度を90%向上させているという。緊急脆弱性には5日以内の修正SLAが設定されている。既存のパッケージマネージャーやCI/CDパイプライン、IDE、AIツールを通じて直接配信されるため、開発速度を落とさない。

サプライチェーン全体の来歴管理と提供体制

提携により、企業は基盤イメージと依存関係を別々に調達・管理する負担を解消できる。双方がSLSA Build Level 3基準でソースからビルドするため、サプライチェーン全体で一貫した検証可能な証跡が得られる。開発を停滞させずに強固なSLAで脆弱性を削減できる点が特徴だ。

DockerとActiveStateによる本パートナーシップは、発表と同時に提供が開始されている。