皆さんこんにちは。
第24回担当の渡邊です。

先日、SysdigのServerless AgentがAzureのContainer Appsへの対応となりました。
今回はその導入を行ってみました。

注) 本記事で扱っているバージョンは5.4.0です。最新の情報についてはドキュメントをご確認ください。

前提条件と必要なもの

• 監視したいコンテナのDockerfile
• コンテナレジストリ

導入手順

1. 監視したいコンテナのDockerfileの書き換え

今回はsysdiglabs/security-playgroundのコンテナを監視してみます。
Container Appの監視は、監視対象のコンテナにSysdigの監視機能を直接組み込むことで実現します。
組み込みはDockerfileの書き換えによって行います。

以下はsecurity-playgroundリポジトリのDockerfileです

FROM python:3.9-slim

RUN pip install --upgrade pipenv

WORKDIR /app
COPY . .
RUN pipenv install --system --deploy

EXPOSE 8080

ENTRYPOINT ["./entrypoint.sh"]

これを次のように書き換えます。
橙色が追記部分です。

FROM quay.io/sysdig/workload-agent:latest AS workload-agent

FROM python:3.9-slim

RUN pip install --upgrade pipenv

WORKDIR /app
COPY . .
RUN pipenv install --system --deploy

COPY --FROM=workload-agent /opt/draios /opt/draios

EXPOSE 8080

ENTRYPOINT ["/opt/draios/bin/instrument", "./entrypoint.sh"]

差分とその解説を以下の画像にまとめました。
橙色の部分を追記するだけで組み込みは完了です。

コンテナイメージをビルドし、任意のコンテナレジストリへ格納します。

registry_name="sysdiginstrumentedcontainer.azurecr.io"
az acr build --image security-playground-with-sysdig:20250410 --registry $registry_name --file Dockerfile .

2. コンテナのデプロイ

Container Appsから新しくContainer Appを作成します。

画像3枚目のCPU and memoryはコンテナに割り当てられるリソースですが、
Serverless Agentを利用しない場合よりもリソース消費が増えますので、モニタリングツールなどを使いながら設定してください。

下記のドキュメントにも記載されていますが、Environment Variablesは次の4つを指定します。
https://docs.sysdig.com/en/sysdig-secure/azure-container-apps/#deploy-the-secured-image
--------
SYSDIG_COLLECTOR...情報の送信先
SYSDIG_COLLECTOR_PORT...ポート番号
SYSDIG_ACCESS_KEY...Access Key
SYSDIG_WORKLOAD_ID...任意で付与するID
--------

設定例

IngressはDisableでも動作しますが、今回は動作確認も行うため8080/TCPを解放します。

特に問題が無ければ Create + review を選択してデプロイします。

3.動作確認

ふるまい検知が動作するか確認します。
Azure上で仮想端末を開き、コンテナの脆弱性を突きます。

Sysdigでも通知されることを確認できました。

最後に

Serverless AgentをAzure Container Appsに導入してみましたが、いかがでしたでしょうか。
AWS以外にもSysdigが監視出来る環境は着々と増えてきました。
本記事がコンテナやプラットフォームのセキュリティを考える際の一助となれば幸いです。

使用したリソース・参考情報

sysdiglabs/security-playground: https://github.com/sysdiglabs/security-playground
Sysdig Docs - Azure Container Apps: https://docs.sysdig.com/en/sysdig-secure/azure-container-apps/

担当者紹介