1.2 Dockerのアーキテクチャ完全解説｜CLI・デーモン・containerd・Docker Hub の全体像

「docker run nginx を打つと何が起きるのか？」——この問いに答えられるかどうかが、Dockerを”使える人”から”わかっている人”への分かれ目です。

本記事では Docker Client・Docker Daemon・containerd・runc・Docker Hub の5つのコンポーネントを図解し、コマンド1行がコンテナ起動に至るまでの全フローをシミュレータで体感してもらいます。1-5 で学んだ名前空間・cgroupsがどこで使われるかも繋がります。

目次

1. Docker の全体像：3つの主要コンポーネント
2. Docker Client — CLI と REST API
3. Docker Daemon（dockerd）— 司令塔
4. containerd と runc — 実行を担う内部ランタイム
5. docker run のフローを追う
6. Docker Hub とレジストリ
7. イメージ名の完全な形式
8. daemon.json で Daemon を設定する（上級者向け）
9. まとめ

1. Docker の全体像：3つの主要コンポーネント

Docker のアーキテクチャは大きく3つのコンポーネントで構成されています。

Client と Host は同じマシンにあることも（ローカル開発）、ネットワーク越しに別のサーバーにあることも（リモートデプロイ）あります。

2. Docker Client — CLI と REST API

ユーザーが直接操作するのは Docker Client です。docker run・docker ps・docker build などのコマンドはすべてクライアントです。

REST API を介した通信

Docker Client は Docker Engine API（REST API）を通じて Docker Daemon に指示を送ります。普段コマンドで操作していても、内部ではHTTPリクエストが流れています。

  docker ps     →  GET  /v1.47/containers/json
  docker run    →  POST /v1.47/containers/create
                   POST /v1.47/containers/{id}/start
  docker pull   →  POST /v1.47/images/create?fromImage=nginx&tag=latest
  docker images →  GET  /v1.47/images/json
  docker stop   →  POST /v1.47/containers/{id}/stop

通信経路

# API バージョンを確認する
docker version
# → Client:  API version: 1.47
# → Server:  API version: 1.47  (minimum: 1.24)

# curl で直接 API を叩く（Linux）
curl --unix-socket /var/run/docker.sock http://localhost/v1.47/containers/json
# → 実行中コンテナの JSON 一覧が返る

# リモートデーモンを使う（DOCKER_HOST 環境変数）
export DOCKER_HOST=tcp://remote-server:2376
docker ps  # → リモートデーモンに接続

3. Docker Daemon（dockerd）— 司令塔

Docker Daemon（dockerd）は Docker Host の中心にいる常駐プロセスです。Client からの REST API リクエストを受け取り、以下のすべてを管理します。

• コンテナ：作成・起動・停止・削除・ログ取得
• イメージ：ビルド（BuildKit経由）・ローカルキャッシュ・pull/push
• ネットワーク：bridge/host/overlay などのネットワーク管理
• ボリューム：Named Volume のライフサイクル管理

コンテナの実際の作成と実行は、自分では行わず containerd に委任します（次セクション）。

# daemon が動いているか確認
systemctl status docker        # Linux（systemd）
docker info                    # すべての環境

# daemon のログを見る（Linux）
journalctl -u docker -n 50

# docker info の主要な出力項目
# → Server Version: 27.3.1
# → Storage Driver: overlay2
# → Cgroup Driver: systemd
# → containerd version: v1.7.x
# → runc version: v1.1.x

4. containerd と runc — 実行を担う内部ランタイム

dockerd は「管理」に集中し、実際のコンテナ実行は 2段階のランタイムに委任しています。これはモノリシックな構成では Kubernetes などの他のオーケストレーターと統合できないため、Docker 1.11（2016年）で分離されました。

# containerd の状態を確認
systemctl status containerd

# containerd が管理するコンテナを直接確認（Docker経由でなくcontainerd CLIで）
ctr --namespace moby containers list   # Docker が使う namespace は "moby"

# runc のバージョン確認
runc --version
# → runc version 1.1.x
# → spec: 1.0.2-dev
# → go: go1.x
# → libseccomp: x.x.x

5. docker run のフローを追う

ここまで学んだコンポーネントが、docker run nginx というコマンドでどう連携するか見てみましょう。

シミュレータで確認したフローをテキストで整理すると次のようになります。

  ① docker run nginx
        ↓
  ② docker CLI → POST /v1.47/containers/create（REST API）
                  POST /v1.47/containers/{id}/start
        ↓
  ③ dockerd
       ・ローカルイメージキャッシュを確認
       ・nginx が存在しない → Docker Hub へ pull
         （GET /v2/library/nginx/manifests/latest → manifest 取得）
         （GET /v2/library/nginx/blobs/{digest} × Nレイヤー → ダウンロード）
       ・containerd に gRPC で CreateContainer + StartTask を送信
        ↓
  ④ containerd
       ・スナップショット（OverlayFS 用）を準備
       ・OCI spec（config.json）を生成して runc に渡す
        ↓
  ⑤ runc
       ・clone() で名前空間グループ生成（pid/net/mnt/uts/ipc）
       ・OverlayFS を MNT 名前空間内にマウント
       ・cgroup を /sys/fs/cgroup/ 以下に設定
       ・exec() → nginx 起動
        ↓
  ⑥ Container 🚀
       ・PID 1: nginx（コンテナ名前空間内から）
       ・ホストから見ると PID 3842 程度の1プロセス

VMとの決定的な違いは、③〜⑤がすべて ミリ秒〜数百ミリ秒で完了する点です。カーネル起動は存在せず、プロセスを分岐させるだけです。

6. Docker Hub とレジストリ

レジストリ（Registry）は Dockerイメージを保存・配布するサービスです。Git で言えば GitHub に相当します。

Dockerのデフォルトレジストリは Docker Hub（registry-1.docker.io）です。docker pull ubuntu と書くだけで Docker Hub から取得されるのは、レジストリを省略したときのデフォルトが Docker Hub だからです。

Registry API（OCI Distribution Specification）

レジストリとクライアントの通信は OCI Distribution Specification（旧: Docker Registry HTTP API v2）で標準化されています。

  docker pull nginx の内部通信（HTTPS）

  ① GET  https://registry-1.docker.io/v2/
         → 200 OK（API バージョン確認）

  ② GET  https://registry-1.docker.io/v2/library/nginx/manifests/latest
         Accept: application/vnd.docker.distribution.manifest.v2+json
         → マニフェスト（イメージのレイヤー構成情報）

  ③ GET  https://registry-1.docker.io/v2/library/nginx/blobs/{digest}
         → 各レイヤーの tar.gz をダウンロード（すでにあればスキップ）

  ④ ローカルの OverlayFS に展開 → docker images で見えるようになる

Docker Hub のプランとレート制限

主要なレジストリ

# Docker Hub にログイン（~/.docker/config.json に認証情報を保存）
docker login

# GitHub Container Registry にログイン
echo $GITHUB_TOKEN | docker login ghcr.io -u USERNAME --password-stdin

# ログインしているレジストリを確認
cat ~/.docker/config.json | jq .auths

7. イメージ名の完全な形式

Docker のイメージ名には省略できる部分がいくつかあります。省略したときのデフォルト値を理解しておくと、どのレジストリからどのイメージが取得されるかがわかります。

  完全形式:  [レジストリ[:ポート]/][ネームスペース/]リポジトリ名[:タグ][@ダイジェスト]

  nginx
  └→ registry-1.docker.io / library / nginx : latest

  ubuntu:22.04
  └→ registry-1.docker.io / library / ubuntu : 22.04

  myorg/myapp:v1.0
  └→ registry-1.docker.io / myorg / myapp : v1.0

  ghcr.io/owner/myapp:sha-abc123
  └→ ghcr.io / owner / myapp : sha-abc123

  myregistry.example.com:5000/team/api:production
  └→ myregistry.example.com:5000 / team / api : production

  nginx@sha256:1234abcd...
  └→ タグの代わりにダイジェスト（イミュータブルな参照）で固定

# 明示的にタグを指定する（推奨）
docker pull nginx:1.27-alpine

# ダイジェストで不変参照（最も安全）
docker pull nginx@sha256:67682bda769fae1ccf5183192b8daf37b64cae99c6c33302b07c9cbaef755
12

# イメージのダイジェストを確認
docker images --digests nginx
# → nginx  1.27-alpine  sha256:67682...  ...

8. daemon.json で Daemon を設定する（上級者向け）

Docker Daemon の動作は /etc/docker/daemon.json（Linux）で設定できます。変更後は systemctl restart docker が必要です。

// /etc/docker/daemon.json の例
{
  "data-root": "/mnt/docker-data",      // イメージ・コンテナの保存先（デフォルト: /var/lib/docker）
  "log-driver": "json-file",            // ログドライバ（デフォルト）
  "log-opts": {
    "max-size": "10m",                  // ログファイルの最大サイズ
    "max-file": "3"                     // 保持するローテーションファイル数
  },
  "storage-driver": "overlay2",         // ストレージドライバ（デフォルト）
  "registry-mirrors": [                 // Docker Hub のミラー（プル高速化）
    "https://mirror.example.com"
  ],
  "insecure-registries": [              // TLSなしで許可するレジストリ（開発用途のみ）
    "localhost:5000"
  ],
  "live-restore": true,                 // daemon 再起動時もコンテナを維持
  "default-runtime": "runc"            // デフォルトランタイム
}

9. まとめ

Docker のアーキテクチャは 責務の分離で設計されています。CLI・Daemon・containerd・runc の4層がそれぞれの役割に集中することで、Kubernetes などの他システムとの統合もしやすくなっています。

参考リンク

• Docker Engine API リファレンス（公式） — REST API の全エンドポイントを確認できる Swagger ドキュメント
• containerd 公式サイト — CNCF 卒業プロジェクト。Kubernetes でも採用されているランタイム
• opencontainers/runc（GitHub） — OCI 準拠の参照コンテナランタイム実装
• Docker Hub（公式） — 公式・コミュニティ製イメージの検索と取得
• OCI Distribution Specification（GitHub） — レジストリ API の業界標準仕様

Dockerの基礎を動画で体系的に学びませんか？

実務で使う基礎だけを3時間に凝縮。環境構築から丁寧に解説しています。

クーポン割引で講座を見る →