systemd-nspawn
systemd 项目附带的轻量级系统容器管理工具，基于 Linux 命名空间和 cgroup 实现隔离，用于运行完整 Linux 发行版根文件系统
时间轴 (近 90 天)
systemd-nspawn 是 systemd 项目附带的一个容器管理工具，借助 Linux 命名空间（namespace）和控制组（cgroup）实现进程、文件系统、网络等维度的隔离，同时与宿主机共享内核。
与 Docker 不同，systemd-nspawn 不依赖镜像分层机制，没有守护进程的生命周期管理，也不强制容器化构建流程；它更接近把根目录挂进隔离空间后启动 init。
systemd-nspawn 本身不实现命名空间和 cgroup 机制，而是调用内核接口将它们组合起来，因此其隔离强度取决于内核版本与配置。
使用 systemd-nspawn 前需要准备根文件系统，可通过 debootstrap（Debian/Ubuntu）、pacstrap（Arch）、dnf --installroot（Fedora/RHEL）或解压官方 rootfs tarball 构建最小系统到目标目录。
systemd-nspawn 容器根目录中必须包含 init 系统（通常是 systemd）、基础库和包管理器，否则使用 -b 参数引导会失败。
默认情况下 systemd-nspawn 容器只有回环网络；需要启用 --network-veth 创建虚拟以太网设备对，并配合宿主机 systemd-networkd 或手动 bridge 配置，容器才能与外部通信。
启用 --private-users=pick 后，systemd-nspawn 会为容器分配一段宿主机上未使用的 UID/GID 范围（通常是 65536 个），将容器内 root（UID 0）映射为宿主机上的高位普通用户，从而缩小攻击面。
启用 --private-users 的代价包括：宿主机上容器文件的属主显示为映射后的高位 UID，直接访问容器目录需要相应处理，且与部分需要真实 root 权限的操作不兼容。
machinectl 提供列表、启停、登录等管理子命令，配合 systemd 单元文件可将 nspawn 容器服务化并实现开机自启。
systemd-nspawn 缺乏 Docker 生态中成熟的镜像仓库、编排工具和 CI/CD 集成，跨主机迁移没有标准化镜像格式，多容器组网需要自行搭建 bridge 和 DNS。
还有 2 条时间轴事件
全部知识事实 (12)
systemd-nspawn 是 systemd 项目附带的一个容器管理工具，借助 Linux 命名空间（namespace）和控制组（cgroup）实现进程、文件系统、网络等维度的隔离，同时与宿主机共享内核。
50%待验证与 Docker 不同，systemd-nspawn 不依赖镜像分层机制，没有守护进程的生命周期管理，也不强制容器化构建流程；它更接近把根目录挂进隔离空间后启动 init。
50%待验证systemd-nspawn 本身不实现命名空间和 cgroup 机制，而是调用内核接口将它们组合起来，因此其隔离强度取决于内核版本与配置。
50%待验证使用 systemd-nspawn 前需要准备根文件系统，可通过 debootstrap（Debian/Ubuntu）、pacstrap（Arch）、dnf --installroot（Fedora/RHEL）或解压官方 rootfs tarball 构建最小系统到目标目录。
50%待验证systemd-nspawn 容器根目录中必须包含 init 系统（通常是 systemd）、基础库和包管理器，否则使用 -b 参数引导会失败。
50%待验证默认情况下 systemd-nspawn 容器只有回环网络；需要启用 --network-veth 创建虚拟以太网设备对，并配合宿主机 systemd-networkd 或手动 bridge 配置，容器才能与外部通信。
50%待验证启用 --private-users=pick 后，systemd-nspawn 会为容器分配一段宿主机上未使用的 UID/GID 范围（通常是 65536 个），将容器内 root（UID 0）映射为宿主机上的高位普通用户，从而缩小攻击面。
50%待验证启用 --private-users 的代价包括：宿主机上容器文件的属主显示为映射后的高位 UID，直接访问容器目录需要相应处理，且与部分需要真实 root 权限的操作不兼容。
50%待验证machinectl 提供列表、启停、登录等管理子命令，配合 systemd 单元文件可将 nspawn 容器服务化并实现开机自启。
50%待验证systemd-nspawn 缺乏 Docker 生态中成熟的镜像仓库、编排工具和 CI/CD 集成，跨主机迁移没有标准化镜像格式，多容器组网需要自行搭建 bridge 和 DNS。
50%待验证systemd-nspawn 与 Podman 在理念上更接近，都强调无守护进程、rootless 运行和与 systemd 的协作。
50%待验证systemd-nspawn 适合的开发运维场景包括：在开发机上运行隔离编译环境、为不同项目维护独立发行版根目录、快速验证特定发行版下的软件行为、以及在无 Docker 的精简服务器上做服务隔离；不适合需要 Kubernetes 编排的微服务集群、需要镜像版本管理的团队协作和跨平台运行场景。
50%