컨테이너가 호스트의 임의 시스템 호출을 수행하지 못하게 제한하는 가장 직접적인 기능은?

1. 1

   mount·PID namespace로 자원 이름을 분리하되 호출 가능한 syscall 종류는 제한하지 않는다.

2. 2

   cgroup으로 CPU·메모리 사용량을 제한하되 커널 syscall 인터페이스는 그대로 둔다.

3. 3

   SELinux·AppArmor 정책으로 객체 접근을 제한하되 syscall allowlist는 정의하지 않는다.

4. 4

   seccomp 프로파일로 허용한 시스템 호출과 필요한 인수 조건만 통과시킨다.