LXC (Linux Containers) isoleert containers van elkaar door gebruik te maken van Linux-namespaces en cgroups.
1. Linux-namespaces: LXC maakt voor elke container een afzonderlijke namespace, waardoor de ene container niet in staat is om het systeem of andere containers te zien of er invloed op uit te oefenen. Er zijn verschillende soorten namespaces die LXC kan configureren, zoals PID (process IDs), netwerk, mount points, IPC (interprocess communication), gebruikers-IDs en bestandssystemen.
1. Cgroups (control groups): Cgroups beperken de hoeveelheid systeembronnen die aan elke container worden toegewezen. Dit zorgt ervoor dat elke container alleen zijn toegewezen bronnen kan gebruiken en voorkomt dat een enkele container alle systeembronnen kan gebruiken en andere containers kan beïnvloeden.
Bovendien wordt de isolatielaag tussen containers versterkt door LXC te combineren met andere beveiligingsfuncties zoals SELinux, AppArmor en seccomp. Dit zorgt voor nog meer granulaire controle over de acties die containers kunnen ondernemen en de systeembronnen waartoe zij toegang hebben.
