Linux cgroup v2/Namespace 2026（リナックスシーグループ）
Linux Container基盤技術。cgroup v2 Unified Hierarchy (CPU/Memory/IO/PIDs/Cpuset/Hugetlb/Misc)・cgroup v1 (Maintenance)・Namespace: PID/MNT/NET/IPC/UTS/USER/Cgroup・unshare・nsenter・systemd-nspawn (Container)・runc (Container Runtime)・LXC/LXD・rootless container (User Namespace)・seccomp (Syscall Filter)・AppArmor・SELinux・Capabilities (CAP_*)・Linux Capability Lists・¥0 OSS、2026年cgroup v2 Universal主流化。
概要
Linux cgroup v2/Namespace 2026は、コンテナ基盤技術の統合化を実現した最新世代のリソース管理フレームワークです。cgroup v2はUnified Hierarchyにより CPU、Memory、IO、PIDs、Cpuset、Hugetlb、Misc の全てを単一階層で管理し、設定の一貫性を保証します。Namespaceは PID/MNT/NET/IPC/UTS/USER/Cgroup の7種類を持ち、プロセスの隔離とリソースの分離を同時に実現します。rootless container（User Namespace）や seccomp、AppArmor、SELinux、Capabilities などのセキュリティ拡張と組み合わせることで、ユーザー権限での安全なコンテナ実行が可能です。2025年以降、主要ディストリビューションで cgroup v2 がデフォルト化され、2026年の Kubernetes 1.28 も完全に cgroup v2 を採用しています。
主な特徴・仕組み
- Unified Hierarchy：CPU 10 %/Memory 8 GB など、1つの階層で全リソースを設定。
- Namespace 7種：PID 1 から始まる独立プロセス空間、MNT でファイルシステム隔離。
- rootless container：User Namespace により root 権限不要でコンテナ起動。
- seccomp：システムコールフィルタリングで 99 % 以上の攻撃面削減。
- AppArmor / SELinux：プロファイルベースでアクセス制御を追加。
- Capabilities (CAP_NET_ADMIN, CAP_SYS_ADMIN)：必要最小限の権限付与。
- systemd‑nspawn：軽量コンテナ起動、cgroup v2 をネイティブサポート。
- runc：OCI 互換ランタイム、cgroup v2 の制御を完全実装。
- LXC/LXD：コンテナ管理ツール、v2 でのパフォーマンス最適化。
- CPU Quota：1 CPU × 100 % で 1 GHz の処理速度を保証。
スペック比較表
| バージョン | コントローラ | 階層構造 | デフォルト | 主なメリット |
|---|---|---|---|---|
| cgroup v1 | CPU, Memory, IO 等 | 複数階層 | 旧型 | 既存環境互換性 |
| cgroup v2 | Unified Hierarchy | 単一階層 | 2025以降 | 設定統一、性能向上 |
| cgroup v2（2026） | CPU, Memory, IO, PIDs, Cpuset, Hugetlb, Misc | 単一階層 | 主要ディストリビューション | 省リソース、rootless で安全 |
具体例・対応製品
| 製品 | バージョン | 主要機能 | 対応ハードウェア |
|---|---|---|---|
| Ubuntu 24.04 LTS | 6.5 kernel | cgroup v2 デフォルト、systemd‑nspawn で軽量起動 | Ryzen 9 9950X3D (64 core, 3.5 GHz) |
| Fedora 39 | 6.7 kernel | seccomp と AppArmor が統合、rootless コンテナ推奨 | Intel Xeon W‑3305 (96 core, 3.0 GHz) |
| Red Hat Enterprise Linux 9.3 | 6.6 kernel | SELinux + cgroup v2 で高い隔離性 | AMD EPYC 9654 (96 core, 3.5 GHz) |
| Docker 5.0 | 6.6 kernel | OCI 互換、cgroup v2 でリソース管理を簡素化 | 2 TB NVMe SSD (PCIe 4.0) |
| Kubernetes 1.28 | 6.6 kernel | cgroup v2 をデフォルトで採用、Pod のリソース制御が高速 | 128 GB DDR5‑6000 |
自作PCでの選び方・注意点
- CPU：64 core 以上でマルチコンテナ環境を想定するなら、Ryzen 9 9950X3D や EPYC 9654 が推奨。
- メモリ：128 GB DDR5‑6000 で大規模アプリケーションを同時実行。
- ストレージ：PCIe 4.0 NVMe 2 TB で高速イメージロード。
- 電源：500 W 80 + で余裕を持たせる。
- OS：Ubuntu 24.04 LTS など cgroup v2 デフォルトのディストリビューションを選ぶ。
- カーネル：6.6 以降を使用し、systemd‑252 で新機能（cgroup v2 のパスワード保護）を有効化。
- セキュリティ：seccomp と SELinux を併用し、rootless コンテナで権限を最小化。
- 監視ツール：cgroup v2 の統計を取得できる Prometheus + node‑exporter を導入。
関連用語との違い
- cgroup v1 vs v2：v1 は複数階層で設定が分散し、v2 は統一階層で設定が簡素化。
- LXC/LXD vs Docker：LXC はシステムコンテナ、Docker はアプリケーションコンテナ。LXD は LXC の上位レイヤーで v2 をネイティブにサポート。
- systemd‑nspawn vs runc：systemd‑nspawn は軽量で rootless が標準、runc は OCI 仕様に準拠し、Kubernetes で広く使われる。
- Namespace：cgroup v2 はリソース管理、Namespace はプロセス隔離を担当。両者は連携して完全なコンテナ環境を提供。
よくある質問(FAQ)
Q1. cgroup v2 は 2026 年に全ての主要ディストリビューションでデフォルトになるのですか？
A1. はい。2025 年に Ubuntu 24.04 LTS で cgroup v2 がデフォルト化され、2026 年の Fedora 39 と RHEL 9.3 も同様に採用しています。
Q2. rootless コンテナを使う場合、どのようなハードウェア制限がありますか？
A2. User Namespace により root 権限不要ですが、CPU コア数が多い環境（64 core 以上）では、cgroup v2 のリソース割り当てを正しく行うために 64 bit カーネルと最新の systemd (v252 以降) が必要です。
Q3. seccomp と AppArmor を同時に有効にした場合、どちらが優先されますか？
A3. seccomp はシステムコールレベルでフィルタリングし、AppArmor はファイル・プロセスレベルでアクセス制御を行います。両方を併用すると、seccomp が最初にシステムコールをブロックし、残った操作に対して AppArmor が追加の制限を課すため、最も厳格なセキュリティが実現します。
まとめ
Linux cgroup v2/Namespace 2026 は、統一階層と多種 Namespace によってリソース管理とプロセス隔離をシームレスに統合します。2025 年以降の主要ディストリビューションでデフォルト化され、2026 年の Kubernetes 1.28 で完全採用されるなど、業界全体での主流化が進んでいます。自作PCで構築する際は、CPU（Ryzen 9 9950X3D、EPYC 9654 など）やメモリ（128 GB DDR5‑6000）を十分に確保し、最新カーネルと systemd を組み合わせることで、rootless コンテナの安全性とパフォーマンスを最大限に引き出せます。これにより、開発・運用環境の柔軟性とセキュリティが両立した高度なコンテナ基盤を実現できます。