>А про то, что в каждом контейнере пашут всякие вспомогательные службы типа
>sshd, которые при правильной организации существуют в одном экземпляре, вы в курсе?

При некоторой организации процесса sshd можно и совсем не запускать (можно например с хоста пнуть все что надо) А у разных копий sshd даже при 100% одинаковом коде будут разными как минимум данные в памяти, т.е. некий оверхед всяко будет. Еще насчет экземпляров - могут быть shared либы, при том не обязательно совпадающих версий. Строго говоря - в чем-то типа опенвзы весьма распостранена практика содержания юзермодов от нескольких разных систем. В этом случае бухтеж насчет памяти валиден на 100%, т.к. в памяти висит куча разных версий процессов и либ. Взамен получается несколько "почти разных" систем и "как бы дебиан" может легко сосуществовать на одной и той же машине с "как бы центосом". Ессно кернел у всех один, но юзермод от соответствующих систем.

>man cgroups

Я в курсе про cgroups. Что сказать то хотели? Что вы ман читали и что полезная фича? Да, полезная фича и ман к ней интересный. Напоминает нечто типа опенвзы но прямо в ванильном ядре и пока явно попроще.

>Такие же квоты можно установить для любого процесса.

Мысль как-то неокончена. Ну, можно. И? Как по мне - контейнеры это простая для понимания и вполне себе эффективная и работающая изоляция как минимум не хуже селинуха. В какомнить опенвзе еще и удобно сделано - каждая песочница с точки зрения юзера похожа на независимую машину. Что и в плане изоляции отлично, и в администреже удобно. И не надо аться с политиками - слом "машины" заведомо затрагивает только то что на ней.