systemd-nspawn是专为轻量可控隔离设计的沙箱工具，适用于单体服务、边缘节点、调试环境、可信编译及高风险进程隔离，不适用于云原生微服务编排。
在生产环境中，systemd-nspawn 不是替代 Docker 或 Kubernetes 的通用容器运行时，而是专为轻量、可控、可审计的服务隔离场景设计的沙箱工具。它适合部署单体服务、嵌入式后端组件、CI 构建节点、或需强文件系统与进程隔离但又不希望引入完整容器生态负担的关键模块。
明确适用边界：什么该用，什么不该用
systemd-nspawn 的核心价值在于“目录即环境”——整个根文件系统是一个普通目录，可直接 tar 打包、rsync 同步、git 管理（若不含二进制大文件）、校验哈希。它天然适配以下生产场景：
- 需要完整 systemd 支持的服务（如含 timer、socket activation、journald 日志聚合）
- 对启动延迟敏感、资源受限的边缘节点（如树莓派集群、工控网关）
- 需复现客户现场环境的调试沙箱（直接拷贝客户 rootfs 目录即可）
- 构建可信编译环境（ARM/RISC-V 交叉编译，配合 qemu-user-static）
- 隔离高风险辅助进程（如解析不可信输入的转换器、PDF 渲染器、配置校验器）
它不适合：无状态微服务编排、自动扩缩容、多实例负载均衡、需要 overlay 网络或服务发现的云原生场景。
最小可行安全沙箱：5 个关键配置项
一个生产可用的 systemd-nspawn 沙箱不是靠“启动命令长”，而是靠 Unit 文件中对内核隔离能力的精准调用。以下是在 /etc/systemd/system/myapp-sandbox.service 中必须设置的五项：
-
RootDirectory= 指向预构建的干净 rootfs 目录（如
/srv/sandbox/myapp-rootfs），确保该目录由只读挂载或 bind mount 保护 -
CapabilityBoundingSet= 显式限制能力集，例如
CAP_NET_BIND_SERVICE CAP_SYS_CHROOT，禁用CAP_SYS_ADMIN等高危能力 -
ProtectSystem=strict 阻止写入
/usr、/boot、/etc（主机侧），同时配合ReadOnlyPaths=/usr /boot强化 - PrivateUsers=yes 启用 user namespace 映射，容器内 UID 0 映射到主机上非特权 UID，彻底阻断提权路径
-
RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6 禁用
AF_NETLINK、AF_PACKET等用于宿主通信或抓包的协议族
根文件系统构建：安全起点决定沙箱上限
沙箱安全性始于 rootfs。不要用 debootstrap --arch=arm64 后手动删包，而应采用可重复、可签名的构建流程：
- 使用
debian-keyring和apt-secure验证软件源，禁用http://源，强制https://+ GPG 校验 - 基础镜像精简：仅安装
systemd、libc6、your-app-deps，移除bash-completion、man-db、sysvinit等非必要组件 - 所有二进制和配置文件设为
root:root所有者，权限收紧至0755/0644，敏感配置（如密钥）不打入镜像，改用tmpfiles.d+systemd-tmpfiles运行时注入 - 启用
systemd-firstboot初始化逻辑，禁止交互式 setup，确保每次启动状态一致
日志、监控与故障响应集成
沙箱不是黑盒。生产环境必须将其日志与指标纳入统一可观测体系：
- 沙箱内服务日志统一走
stdout/stderr，由 nspawn 自动转发至宿主机 journald，用journalctl -M myapp-sandbox查看 - 配置
StandardOutput=journal和StandardError=journal在 service unit 中，避免日志丢失 - 通过
systemd-cgtop或systemd-run --scope监控 cgroup v2 资源使用（CPUAccounting=yes, MemoryMax=512M） - 设置
Restart=on-failure+StartLimitIntervalSec=600+StartLimitBurst=3防止崩溃风暴 - 添加
ExecStartPre=/usr/local/bin/sandbox-healthcheck.sh做启动前自检（如检查 rootfs 完整性、证书有效期）
