При запуске контейнера среда выполнения создает для него новые контрольные группы. Утилита lscgroup (которую на Ubuntu можно установить с пакетом cgroup-tools) позволяет просмотреть эти контрольные группы на хост-компьютере. Поскольку их довольно много, посмотрим только на различия в контрольной группе memory до и после запуска нового контейнера с помощью команды runc. Сделайте снимок файловой системы контрольной группы memory:
Безопасность контейнеров. Фундаментальный подход к защите контейнеризированных приложений
·
Лиз Райс
