Cô lập Container: PID và Mount Namespace

clone() với các cờ CLONE_NEWPID, CLONE_NEWNS, CLONE_NEWUTS tạo cho tiến trình con một không gian tên riêng: nó trở thành PID 1 bên trong namespace dù vẫn có một PID thật khác trên host, và pivot_root cùng mount propagation cho nó một root filesystem riêng — cô lập view, không phải giới hạn tài nguyên (đó là việc của cgroups).