rkt enter 缺乏隔离功能

默认的 systemd/nspawn 版本中的 rkt enter 命令缺乏隔离功能。 通过 rkt enter 命令启动的进程具有所有权限，没有经过 seccomp 过滤，并且不受 cgroups 限制。这使得通过 rkt enter 启动的进程可以相对容易地从 pod 中逃逸。例如，一个进程可以 挂载主机文件系统设备。