Windows Info 第152回

Windows 10の新機能であるアプリテスト用環境 「Sandbox」の技術を見る

Windows 10 RS5での注目の新機能!?
「Windows Sandbox」はアプリの動作テスト用

　Windows 10のプレビュー版である19H1（来年4月にリリース予定のVer.1903）に「Windows Sandbox」なる新機能が搭載された。これは、仮想マシンを使った一種のテスト環境で、Windows自体に影響を及ぼすことなく、アプリを実行できるというものだ。

Windows Sandboxを起動したところ。WinVer.exeのバージョン表示は、Sandboxの中もホストWindows側のどちらも同じBuild 18305（プレビュー版なのでバージョンは1809のまま）。Sandboxのユーザーフォルダーには、ContainerUserなどコンテナーであることを示すものがある

　それだけ聞くと、Hyper-Vなどの仮想マシン環境に似ているように感じるが、仮想マシン内での実行効率を追求したものではなく、Sandbox自体の実行がWindowsの処理に大きく影響しないように構成されているのが特徴だ。このため、メモリは4GBから動作可能（推奨は8GB以上）で、仮想マシン用にHDDイメージを作る必要もない。また、別途Windowsのライセンスも必要ない。

　簡単に言えば、ホストWindowsからは、アプリケーションのように見える仮想マシン環境だ。このSandboxは「Windowsコンテナー」の技術を利用して作られたという。

では、Windowsコンテナーとは一体何？

　Unix系OSなどにおけるコンテナーとは、アプリケーションに対して提供される、仮想化されたOSの実行環境やそのための機構を指す（それ以外に情報の入れ物などの呼び名として使うこともある）。

　つまり、独立した実行環境として作られたコンテナーにアプリケーションをインストールして設定し、これを「コンテナーファイル」などとして保存することで、実行環境の移動（コンテナーをサポートする他のマシンでの実行）や複製（コンテナーファイルをコピーすることで実行中のイメージを複製できる）などを可能にする。

　仮想マシン環境と違い、OS自体は含まないため、起動が高速で、コンテナーファイルもコンパクト（必要なストレージと実行イメージのあるメモリなど）になる。

　そしてWindowsにも「Windowsコンテナー」と呼ばれる技術がある。Windowsコンテナーには、大きく2種類ある。

・Windows Serverコンテナー
・Hyper-V分離（Hyper-V Isolation、Hyper-Vコンテナーと呼ぶこともある）

　Windows 10は、Creators Update（Ver.1607、RS1）でコンテナーに対応したが、Hyper-Vコンテナーが利用できるようになったのは、October 2018 Update（Ver.1809、RS5）から。つまり、SandboxはRS5のHyper-Vコンテナー対応の結果、利用できるようになったわけだ。ただし、Windowsコンテナーが利用できるのはProとEnterpriseエディションのみである。

　Windows Serverコンテナーは仮想マシン支援機能（VTやAMD-V）を使わずにファイルシステムなどの仮想化で対応するものだ。これではホストWindows側への影響は避けられないが、オーバーヘッドが小さく、動作が軽い。一方、仮想マシン支援機能を使うHyper-Vコンテナーでは、コンテナー間やコンテナーとホストWindowsが分離され、コンテナー内のエラーなどがホスト側に影響しにくい。

　Windowsコンテナーとして見えているのは、上記の2つだけだが、マイクロソフトは4種類のコンテナー技術を持っており、それぞれ「Helium」（ヘリウム）、「Argon」（アルゴン）、「Krypton」（クリプトン）、「Xenon」（キセノン）という開発コード名が用いられている。

　このうち、「Windows Serverコンテナー」に相当するのが、2つ目の「Argon」で、「Hyper-V分離」は最後の「Xenon」だという。「Helium」は、デスクトップブリッジとして、Win32デスクトップ環境アプリケーションをMicrosoftストアに登録する場合に利用している。そして「Krypton」は、Windows Defender Application Guard（WDAG）として利用されているものだ。

　Windows Sandboxの仕様は、Kryptonに近い。ただし、WDAGはEdgeによる信頼性のないホストへのアクセスで起動されるのに対して、Sandboxは、独立したWindows環境として起動される点が違う（WDAGもProおよびEnterpriseエディションでのみ利用可能）。