Dockerと仮想マシンの違いは？カーネル・隔離・使い分け

ひよこ

コンテナとVMは何が違うの？

ペンギン先生

Linuxコンテナは同じLinuxカーネル上のプロセスを隔離する仕組み。VMは仮想ハードウェア上でゲストOSとそのカーネルを動かす仕組みだよ。ここではDockerのLinuxコンテナを中心に比べるね。

ひよこ

コンテナにはOSが入っていないの？

ペンギン先生

イメージにLinuxディストリビューションのライブラリやコマンドが入ることはあるよ。ただし通常、そのコンテナ専用のLinuxカーネルを起動するわけではない。ユーザー空間のファイルとカーネルは分けて考えよう。

ひよこ

Dockerなら1秒以内で起動する？

ペンギン先生

コンテナ自体の開始と、アプリが使える状態になるまでの時間は違うよ。イメージの取得、初期化、DB接続なども必要になる。VMにも軽量な構成があるので、固定の秒数やメモリ量で分類しないほうが正確だね。

ひよこ

同じカーネルを使っていて安全なの？

ペンギン先生

namespace、権限、seccompなどで境界を設けるけれど、カーネル共有やホストへのマウントを含めたリスクがあるよ。VMにも脆弱性や設定ミスはある。扱うコードの信頼度と必要な隔離境界に合わせて選び、どちらも更新・最小権限を徹底するんだ。

ひよこ

WindowsやMacではLinuxカーネルがないよね？

ペンギン先生

Docker DesktopでLinuxコンテナを動かす場合は、LinuxのVMを利用する構成になるよ。だからホストのWindowsやmacOSのカーネルをLinuxコンテナが直接共有しているわけではないんだ。

ひよこ

別のOSを動かすなら？

ペンギン先生

カーネルやOSそのものを切り替えて試したいならVMが候補だね。コンテナはイメージに何でも詰めれば別OSのプログラムが動くというものではない。CPUアーキテクチャ、OS、必要なカーネル機能、エミュレーションの有無を確認するよ。

ひよこ

VMの中でDockerを使ってもいい？

ペンギン先生

もちろん。VMでホスト環境を分け、その中でアプリをコンテナとして配布する組み合わせもあるよ。VMの境界と、アプリの配布・管理の単位という別の役割を組み合わせられるんだ。

ひよこ

開発環境はどちらでそろえる？

ペンギン先生

アプリの依存関係や起動方法を共有したいならコンテナが便利。OS全体の操作やカーネルの違いを確認したいならVMが向くことがある。必要な機器、ネットワーク、データ保存、復元まで含めて確認しよう。

仕組みの比較

選択前に確認する4項目

1. 必要なのはアプリの環境か、OS・カーネル自体か。
2. 実行するコードや利用者をどの程度信頼できるか。
3. ホストのディレクトリやデバイス、管理用ソケットを渡す必要があるか。
4. イメージ取得からアプリの準備完了まで、実際にどれだけかかるか。

--privilegedやDockerの管理用ソケットを渡す構成は、隔離の前提を大きく変えます。「コンテナに入れたから安全」「VMなら絶対に侵入されない」とは判断しないでください。

カーネル共有の具体的な仕組みはDockerの仕組み解説も参照してください。

参考資料

確認日：2026年9月27日。製品の仕様・料金・対応環境は導入時にも確認してください。

• Docker: What is a container?：カーネル共有、VMとの違い、DesktopのVM。
• Docker: Security：権限・カーネル・デーモンへのアクセスと隔離。