コンテナレジストリ とは？

自分のPCでDockerイメージをビルドしても、そのイメージは自分のPCにしかない。サーバーで動かすにはサーバーに届ける必要がある。レジストリはその中間地点で、「PCからプッシュして、サーバーからプルする」という流れを実現するんだよ。

公開イメージは無料で、無制限に使える。プライベートリポジトリ（非公開イメージ）は無料枠に制限があって、チームで使うなら有料プランかAmazon ECRなどのクラウド提供のレジストリを使うことが多いよ。

バージョン管理のためだよ。「myapp:latest」「myapp:v1.2.3」みたいにタグをつけて区別する。「latest」は最新版を指す慣習的なタグで、バージョンを固定したいなら「v1.2.3」のような具体的なタグを指定するのが安全だよ。

イメージに含まれるOSのパッケージやライブラリに「既知の脆弱性（CVE）」がないかをスキャンしてくれる機能だよ。Amazon ECRやGitHub Container Registryに搭載されている。ベースイメージ（例えばubuntu:22.04）にセキュリティパッチが当たっていない古いバージョンが使われていたり、インストールしたライブラリに脆弱性があったりするのを検出できる。ただし「CVEが報告されているが実際には使っていないコードパス」でもアラートが出るため、全部対応しようとするとキリがない、というのも現実の悩みなんだよ。