Разбор архитектуры rootless Docker: через RootlessKit и user namespaces. Ограничения: требуется разрешение ядра на unprivileged userns, проблемы с сетевыми пробросами и некоторыми фичами. Не панацея, но снижает риски.
В репозитории Apple появился документ `container-machine.md` про macOS Container Machines — судя по реакции на Hacker News, люди уже копают, как это устроено, а не просто кивают на очередной корпоративный анонс. Это именно документация в `github.com/apple/container`, то есть редкий случай, когда у большого вендора есть что-то полезное не в слайдах, а в коде и файлах.