systemd-nspawn在生产环境的核心价值是轻量可控隔离，适用于单体服务、边缘节点、可信编译及高风险进程，不适用于云原生微服务编排；其最小安全沙箱需配置RootDirectory、CapabilityBoundingSet、ProtectSystem、PrivateUsers和RestrictAddressFamilies五项关键参数。
在生产环境里用 systemd-nspawn 做应用隔离，核心不是“能不能跑”，而是“跑得稳、管得住、审得清”。它不追求 Docker 那样的生态兼容性，而是靠内核原生能力做精准隔离——目录即环境、启动即服务、退出即清理。适合单体服务、边缘节点、可信构建和高风险辅助进程，不适合微服务编排或自动扩缩容。
明确适用场景：什么该隔离，什么不该上
systemd-nspawn 的价值体现在“轻量可控”四个字上。它天然适配以下真实生产需求：
- 需要完整 systemd 支持的服务：比如带 timer 触发、socket 激活、journald 日志聚合的后台模块
- 资源受限的边缘设备：树莓派集群、工控网关等，启动快、内存占用低、无 daemon 开销
- 客户现场复现调试：直接拷贝客户 rootfs 目录，零配置还原环境，避免“在我机器上是好的”类问题
- 可信编译任务：ARM/RISC-V 交叉编译配合 qemu-user-static，隔离构建过程，防止污染主机工具链
- 高风险辅助进程：PDF 渲染器、配置校验器、不可信输入解析器，单独拉起、能力收紧、用户映射
它不解决的问题也很明确：不需要服务发现、不处理多实例负载均衡、不管理 overlay 网络、不替代 Kubernetes 的调度能力。
最小可行安全沙箱：5 个必配 Unit 参数
一个生产可用的沙箱，关键不在命令多长，而在 Unit 文件中对内核隔离能力的显式声明。以下配置应写入 /etc/systemd/system/myapp-sandbox.service：
- RootDirectory= 指向预构建的干净 rootfs（如 /srv/sandbox/myapp-rootfs），该目录建议只读挂载或 bind mount 保护
- CapabilityBoundingSet= 显式白名单，例如 CAP_NET_BIND_SERVICE CAP_SYS_CHROOT，务必禁用 CAP_SYS_ADMIN 等高危能力
- ProtectSystem=strict 阻止写入 /usr、/boot、/etc（主机侧），再配合 ReadOnlyPaths=/usr /boot 加强防护
- PrivateUsers=yes 启用 user namespace 映射，容器内 UID 0 映射到主机非特权 UID，彻底阻断提权路径
- RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6 禁用 AF_NETLINK、AF_PACKET 等可用于宿主通信或抓包的协议族
根文件系统构建：从源头控制风险
rootfs 是沙箱安全的起点。不要手动 debootstrap + 删包，而应走可重复、可签名、可审计的构建流程：
- 使用 debian-keyring 和 apt-secure 验证软件源，禁用 http://，强制 https:// + GPG 校验
- 基础镜像精简：只装 systemd、journalctl、业务依赖及必要工具，删掉 vim、curl、bash-completion 等非必需项
- 构建后生成 SHA256 校验值，部署时验证 rootfs 完整性；支持 git 管理（若不含大二进制）或 rsync 同步
- 运行前执行 systemd-nspawn --directory=/path/to/rootfs --read-only --drop-capability=CAP_SYS_ADMIN --bind-ro=/proc:/proc 快速验证隔离效果
运维与可观测性：让沙箱真正可管
沙箱不是一启了之。生产环境需配套可观测与生命周期管理：
- 日志统一归集：沙箱内服务通过 journald 输出，宿主机用 journalctl -M myapp-sandbox 查看，配合 MaxUse=100M 和 RotateIntervalSec=1d 防磁盘打爆
- 健康检查集成：在 Unit 中添加 ExecStartPre=/usr/bin/systemd-run --scope --on-failure=crash-handler.service /check-health.sh
- 资源限制绑定：启用 cgroup v2 后，用 MemoryMax=512M、CPUQuota=50% 控制资源使用，避免影响宿主
- 升级策略：新版本 rootfs 准备就绪后，原子切换 RootDirectory= 路径，旧目录保留 7 天供回滚
不复杂但容易忽略。
