Namespaces (Linux)
Linux-kernelns mekanism för att ge en grupp processer sin egen isolerade vy av systemet — egna process-ID:n, eget nätverk, eget filsystem osv. Detta är vad som får en container att "tro" att den är ensam på maskinen. Den andra grundpelaren (med cgroups) bakom containrar.
Mekanik: kerneln stöder flera typer av namespaces, var och en isolerar en aspekt: PID (egna process-ID, ser inte värdens processer), NET (eget nätverksstack, egna interface/IP), MNT (eget filsystem/mounts), UTS (eget hostname), IPC (egen delad-minne/köer), och USER (egen UID-mappning — grunden för rootless). En container är helt enkelt en process som körs i en uppsättning egna namespaces + begränsad av cgroups. Vinst: lättviktig isolering utan en hel virtuell maskin (delad kärna, snabb start). Begränsning: eftersom kärnan delas är isoleringen svagare än en VM:s → därför finns gVisor/Kata för starkare isolering vid otrodd kod. Kombinationen namespaces (vad man ser) + cgroups (hur mycket man får) ÄR en container. Hör ihop med cgroups v2 och rootless container.