#containers

Linux 内核社区出现一份由 Josef Bacik 提出的 RFC，拟用名为“cells”的新概念让容器成为内核正式识别的对象，面向内核和容器运行时开发者；该提案尚未合入主线。每个 cell 由非特权的 cell\create\(\) 创建并返回一个不可复制的 cellfd，初始为空，进程只能出生在 cell 内而不能通过 setns\(\) 进入，关闭 cellfd 会立即杀死整个 cell。cell\configure\(\) 可设置 hostname、网络命名空间和根文件系统，并要求每个 cell 配置独立的 cgroup budget，之后必须用 CELL\CMD\SEAL 封存。