🏭 С появлением инструментов, таких как Docker, Linux Containers и других, стало возможным легко изолировать процессы в Linux, имеющие свое собственное небольшое системное окружение. Это позволяет выполнять целый диапазон приложений с гарантией, что они не будут мешать друг другу без необходимости использовать виртуальные машины. Этот инструментарий помог разворачиванию провайдеров PaaS(Platform-as-a-Service). ⚠️ В основе каждого инструмента, позволяющих создавать контейнеры, находится главный компонент -- пространство имен Linux изоляции процесса, позволяющее выполнять заведомо уязвимые к компрометации  сетевые программы на сервере. Итак, как выяснили в прошлом посте, процесс реализуется через clone(2), который запускает пользовательский поток (LWP) и поток на уровне ядра с моделью привязки потоков пользовательских и ядра 1:1 . ⤵️