> это где s in docker stands for "security"? Ага, есть. Жаль что
> придумано совершенно не для безопасности.

Совершенно не обязательно использовать самое хайпожорское решение, есть и другие. И да, т.к. ядро никогда не делалось для контейнеров, в неймспейсах бывают достаточно дурные отвалы. Если надо более серьезно - есть виртуалки или хотя-бы UML, чтоб ядро гасили все же отдельное и не в основном кернелспейсе. Но даже это лучше чем нифига и уж точно не хуже сабжа, стандартно отключаемого каждым первым сплойтом.

> Для той придуман jail, и всю дорогу его главный недостаток был ровно
> тот же что у selinux targeted - по сути он состоит

...что он решает хзкакие задачи, абы как, как и вся bsd вообще, поэтому нафиг надо. Они даже просто виртуализацию сети нормальную научились только недавно IIRC.

> из миллиона проверок в миллионе мест ядра вида if(а не в > джейле ли мы)?
> - естественно, они не могут быть консистентны by design. И периодически тропка
> в обход очередного шлагбаума таки находилась.

Ну вот и namespaces в линухе как-то так же. При том в них ищут в миллион раз больше чем вон там. А когда мне реально надо... я даже и еще сильно более прочные варианты юзаю.