仮想化VI(イメージ層と隔離の限界)

コンテナイメージが読み取り専用レイヤの積み重ね(overlayfs)でできている仕組みと、そのコピーオンライトやレイヤ共有のからくりを、カーネル公式文書に沿って学びます。あわせて「コンテナはホストのカーネルを共有するから隔離が弱い」理由と、gVisorやKata・rootless・特権コンテナといった境界を強める(あるいは壊す)技術を、なぜそう効くのかという原理から押さえます。