仮想化V(コンテナランタイムとOCI)

コンテナを実際に起動する層を扱います。コンテナがnamespace・cgroup・capability・seccomp・rootfs切替を組み合わせた普通のLinuxプロセスであること、OCI仕様が定めるランタイムの契約、そしてcontainerd/CRI-O(高レベル)とrunc(低レベル)の役割分担を、一次ソースであるOCI runtime-specとman-pagesを土台に理解します。「なぜその機構で隔離できるのか」に焦点を当てます。