Вот когда этот дистрибутив оформится во что-то цельное, когда будут выявлены хотя бы основные подводные камни, тогда и можно будет думать об интеграции фич в другие дистрибутивы. А пока для всех будет лучше, если оно будет развиваться само по себе.

Если не согласны, расскажите об этом ещё и разработчикам Linux-ядра, которые каждый свой репозиторий держит. ;)

И какие же киллер-фичи есть в Solaris Zones, что надо срочно бросить Xen и переделывать Qubes под Solaris?

>в Jail
>изолированных рабочих окружений

Изоляция в джейлах слабовата. Заюзал дырку в ядре и пошел гулять по системе.

Разница между jail/openvz/lxc и zones/xen/kvm - примерно как между фанерной дверкой со шпингалетом и тяжелой стальной дверью с хорошим замком.

Что логично - инновации теперь будут здесь. А MS теперь будет только вешать лапшу на уши да барыжить файловыми системами 15-летней давности.

Они вообще далеки от практического использования, по сравнению с OpenVZ, PVC, Solaris Zones, и, скоро, LXC.

По сабжу Вашего вопроса, КО подсказывает, что в контейнерах не полная изоляция, в сравнении с виртуализацией.

Каждый сервис в контейнер, особенно с нормальными лимитами на cpu, память, и диск (жалко, что в OVZ i/o влияние сервисов друг на друга не очень хорошо лимитируется, но зато в остальных контейнерах оно вообще никак не ограничивается), это достаточно реальный вариант, в сабже же рассматривается что-то параноидальное, которое поможет от гипотетического ядерного эсплойта, который в истории тех же VZ-ядер в начале двухтысячных, когда они только-только вышли (и сделали Jails не актуальным), все-таки был.

Тем что у нее там как я понимаю все куда как лучше изолировано и в стопицот раз параноидальнее, а хоть и с диким оверхедом за это. Зато и правда выглядит довольно бронированным. А так - она завернула идею делать сие на KVM, чтобы не зависеть от надежности довольно большого ядра а только от маленького гипервизора, который проаудитить на дыры явно реалисичнее. Бздотные jail в этом плане ничем таким не лучше KVM, даже хуже - KVM по идее полную виртуализацию может, а jail ... ну у бздунов вообще с виртуализацией все не ахтецки, мягко говоря. А хотя-бы сетевой стек оно уже умеет виртуализовать? Это допилили наконец?

на хост-системе SELinux с политиками на виртуалки + виртуализация + контейнеры в виртуалках, еще параноидальнее :)

И, кстати, тоже реально уже сейчас :)

Нет, это не то же самое. Почему-то сплойты залетев в систему этот ваш селинукс вырубают одной левой (тут вон примеры сплойтов повышения привилегий были, как раз с воркэраундом отшивающим ваш селинукс куда подальше). В случае параноидальной системы Рутковской ломать придется уже мелкий гипервизор, который вообще из системы не виден, что как-то уныло и геморройно и дыр в нем не так уж и много скорее всего. В итоге система Руткитской ;) выглядит довольно параноидально и трудноломаемо, в отличие от "просто системы с SELinux".

Разумеется. А вот скажем посмотреть на "возможно вирус" в таком окружении - ничего так :)

А умный админ сделает так, чтобы по дефолту все потенциально опасные файлы открывались в disposable зонах. Если чо надо — копирование и вставка вроде как работают, а больше ничего для просмотра тех же пэдээфок и не надо. Так что идея действительно интересная. Жаль, systrace так и не придумали как пофиксить, можно было бы без лишней виртуализации обойтись, думаю…