NetBSD Cells：内核级隔离填补chroot与虚拟化之间的空白

NetBSD Cells引入了一种新的工作负载隔离方法，位于简单chroot环境和完全虚拟化之间。原生构建在NetBSD内核安全框架中，提供强进程隔离而无需容器生态系统的复杂性。

填补的空白

关键组件

• secmodel_cell — 内核安全模型
• cellctl — 底层运行时适配器
• cellmgr — 主机端控制平面
• cellui — 可选交互式TUI

安全特性

• 跨单元隔离 — 内核级阻止单元间进程检查和信号
• 加固访问配置 — 三个等级（低、中、高）约束主机影响操作
• 内核强制边界 — 策略在内核中执行，不委托给用户空间运行时

设计哲学

"目标不是复制Linux风格容器生态系统，而是提供有重点的运营模式，具有最小依赖性、无外部控制服务和明确的运营边界。"

为什么重要

在容器编排日益复杂的时代，NetBSD Cells提供了引人注目的替代方案：内核强制的隔离，简单、可审计，不需要整个生态系统即可运行。