有趣的是，CRI API 规范似乎更加灵活。至少在语法上，它允许将 net、pid 和 ipc 命名空间限定为 CONTAINER、POD 或 NODE。因此，可以构建一个 Pod 使其容器无法通过 localhost 相互通信 。
探索 Pod 的 cgroups
Pod 的 cgroups 是什么样的？systemd-cgls 可以很好地可视化 cgroups 层次结构：
1 $ sudo systemd-cgls 2 Control group /: 3 -.slice 4 ├─kubepods 5 │ ├─burstable 6 │ │ ├─pod4a8d5c3e-3821-4727-9d20-965febbccfbb 7 │ │ │ ├─f0e87a93304666766ab139d52f10ff2b8d4a1e6060fc18f74f28e2cb000da8b2 8 │ │ │ │ └─4966 /pause 9 │ │ │ ├─dfb1cd29ab750064ae89613cb28963353c3360c2df913995af582aebcc4e85d8 10 │ │ │ │ ├─5001 /usr/bin/python3 /usr/local/bin/gunicorn -b 0.0.0.0:80 httpbin:app -k gevent 11 │ │ │ │ └─5016 /usr/bin/python3 /usr/local/bin/gunicorn -b 0.0.0.0:80 httpbin:app -k gevent 12 │ │ │ └─097d4fe8a7002d69d6c78899dcf6731d313ce8067ae3f736f252f387582e55ad 13 │ │ │ └─5035 /bin/sleep 3650d 14 ...
