Linux — 世界中で育てる、無料の土台

ユーザー空間のアプリは、ハードを直接触れません。ファイルを開く・メモリを増やす・プロセスを作る——これらはすべて システムコール ※1 でカーネルに依頼します。

• アプリが open() read() fork() のような 依頼 を出す
• CPUが カーネルモード ※2 に切り替わり、カーネルが代わりに実行する
• 結果を持って ユーザーモード に戻る

この切り替えには小さなコストがあります。だから、細かい依頼を連発するより まとめて頼む 方が速い、という設計判断が生まれます。境界を「必ず通す」ことが安全の要であり、同時に性能の勘所でもあるのです。

登場人物メモ:

• ※1 システムコール — ユーザー空間からカーネルへ処理を依頼する境界の入口
• ※2 ユーザーモード／カーネルモード — CPUの特権レベル。カーネルだけがハードを操作できる
• ※3 root — すべての権限を持つ管理者。制限を受けない特別な存在
• ※4 namespace／cgroups — 見える範囲を分ける仕組みと・資源の使用量を制限する仕組み

Linuxのプロセス生成は、2段構えの発想が独特です。

1. fork — 今のプロセスを まるごと複製 し、親子2つにする。中身は最初そっくり同じ
2. exec — 子プロセスの中身を 別のプログラムに置き換える
3. 親は子の終了を待ち受け、後始末をする

「複製してから中身を差し替える」。この単純な2部品の組み合わせだけで、シェルはあらゆるコマンドを起動できます。fork直後はメモリを実際にはコピーせず共有し、書き込む瞬間に初めて複製する（コピーオンライト）ので、複製は見た目ほど重くありません。

パーミッションは文字だけでなく 数値 でも表します。r=4 w=2 x=1 を足すだけです。

• 7 ＝ 4＋2＋1（読む・書く・実行 すべて）
• 5 ＝ 4＋0＋1（読む・実行）
• 755 ＝ 所有者7・グループ5・その他5

root ※3 はこの制限をすべて飛び越えられる管理者です。強力ですが、間違えば全体を壊せます。だから普段はrootを使わず、必要な権限だけを持つ のが鉄則（最小権限）。

もう1つの思想が 標準入出力とパイプ です。各コマンドは「入口（標準入力）から受け取り・出口（標準出力）へ流す」よう作られ、|（パイプ）で 出口を次の入口へつなぐ。小さな道具を数珠つなぎにして大きな仕事をする——これがUNIX由来の設計哲学です。

ここまでの部品が、そのまま コンテナ の下地になります。

• namespace ※4 — プロセスから 見える範囲（他のプロセス・ネットワーク・ファイルの木）を分ける。同じマシンでも「自分の世界しか見えない」状態を作れる
• cgroups ※4 — CPUやメモリの 使える量を制限 する

つまりコンテナとは、新しいOSを積むのではなく、1つのLinuxカーネルの上で、プロセスを隔離して閉じ込めたもの。VMのようにOSをまるごと積まないから軽い——この身軽さの正体が、Linuxが元々持っていた隔離の下地です。詳しくは姉妹ユニット Docker へ。

• システムコール連発で遅い — 境界越えのコストが積もる。まとめて頼む工夫が要る
• rootの乱用 — 何でもできる分、事故も全体に及ぶ。最小権限を徹底する
• fork爆弾 — 自分を無限に複製し、資源を食いつぶす。cgroupsで上限を設ける
• 隔離の穴 — namespaceの設定を誤ると、コンテナから外が見えてしまうことがある