container
termonuvemprogramação
Um processo isolado por recursos do núcleo, e não por um sistema operacional separado - compartilhando o núcleo do host com tudo o mais que roda nele.
O núcleo compartilhado é a troca inteira. Ele torna contêineres rápidos de iniciar e baratos de rodar, e faz a fronteira de isolamento ser um conjunto de recursos do núcleo, e não uma fronteira de hardware, de modo que uma vulnerabilidade de núcleo é uma vulnerabilidade de fronteira. É por isso que as perguntas interessantes de segurança são sobre o que o contêiner pode pedir ao núcleo - capacidades, filtragem de chamadas de sistema, se roda como root - e não sobre a imagem, e por que um contêiner comprometido num host compartilhado é conversa diferente de uma máquina virtual comprometida.
Também conhecido como: docker, oci