这几个技术都属于Linux内核的关键部分，但它们扮演的角色截然不同。总的来说，Namespaces和Cgroups是容器技术的“基石”，负责构建运行环境；而Capabilities、Seccomp和Landlock则构成层层递进的“安全防线”，共同实现纵深防御。

下面是它们具体角色的一个梳理：

🎬 它们如何协同工作？

这几个技术常常协同工作，形成一个纵深防御体系。例如，在启动一个容器时：

1. Namespaces 负责创建隔离环境（如独立的网络和文件系统），让进程"住进独立的房间"。
2. Cgroups 则设置资源上限，防止这个"房间"占用过多"水电"（CPU和内存）。
3. Capabilities 会丢弃容器进程绝大多数不必要的特权（如加载内核模块的权限）。
4. Seccomp 会设置过滤器，禁止调用mount、swapon等危险系统调用。
5. 最后，Landlock 可以作为一个额外的、细粒度的沙盒，例如限制容器内的Web服务器只能写入特定日志目录，即使它被攻破也无法破坏其他文件。

🆚 Namespaces vs Landlock

这里想再特别说明一下，Namespaces 和 Landlock 都涉及文件系统隔离，但机制和粒度存在关键差异：

• 机制不同：Namespaces 的隔离发生在系统视图层面。当容器中执行 chroot 或 pivot_root 时，进程看到的是一个新的文件系统视图，但对这个"新视图"里的所有文件享有同等访问权限。而 Landlock 是基于路径的访问控制，它直接限制进程对宿主机中真实文件路径的访问。
• 管控深度不同：Namespaces 是粗粒度的，一旦进入 namespace，对所有挂载的文件都拥有相同权限。而 Landlock 允许你定义精细的策略，例如，允许读取 /etc 但禁止写入，只允许在 /tmp 下创建新文件等。Landlock 甚至可以作用于宿主机全局的文件系统，这是 Namespaces 做不到的。

💎 总结

简单来说，这张表格可以帮你从宏观上理解它们的角色：

• Namespaces：为进程分配独立的“房间”。
• Cgroups：为房间设定“水电煤”用量。
• Capabilities：拆分“万能钥匙”，只给必要的门钥匙。
• Seccomp：屏蔽“电话本”上危险的号码。
• Landlock：为房间内的每个“抽屉”加装独立的锁。