Namespaces (Linux)
O mecanismo do kernel Linux que dá a um grupo de processos sua própria visão isolada do sistema — IDs de processo próprios, rede própria, sistema de arquivos próprio, e por aí vai. É o que faz um container "achar" que está sozinho na máquina. O outro pilar (junto com os cgroups) por trás dos containers.
Mecânica: o kernel suporta vários tipos de namespace, cada um isolando um aspecto: PID (IDs de processo próprios, não enxerga os processos do host), NET (pilha de rede própria, interfaces/IP próprios), MNT (sistema de arquivos e mounts próprios), UTS (hostname próprio), IPC (memória compartilhada e filas próprias) e USER (mapeamento de UID próprio — a base do modo rootless). Um container nada mais é do que um processo rodando dentro do seu próprio conjunto de namespaces, limitado por cgroups. Vantagem: isolamento leve sem precisar de uma máquina virtual inteira (kernel compartilhado, início rápido). Limitação: como o kernel é compartilhado, o isolamento é mais fraco que o de uma VM — por isso existem gVisor e Kata para reforçar o isolamento ao rodar código não confiável. A combinação namespaces (o que se vê) + cgroups (quanto se pode usar) É o container.