systemd-nspawn 是面向生产环境的轻量级隔离工具，适用于需秒级启停、rootfs 可版本化、完整 systemd 支持且无需 docker 高级编排能力的场景；通过 debootstrap 构建最小 rootfs，结合 --private-users、--read-only-root、cgroup v2 约束及 systemd unit 集成，实现安全、可控、可审计的容器化运行。
生产环境用 systemd-nspawn 构建轻量级隔离容器，核心思路是：不追求 Docker 那类高抽象、强编排的复杂性，而是依托 systemd 原生能力，以最小侵入、最可控的方式实现进程、文件系统、资源与网络的可靠隔离。它适合对启动速度、资源占用、环境纯净度有硬性要求的场景，比如 CI/CD 中的构建沙箱、微服务前置验证节点、嵌入式交叉编译平台或 LoRA 等 AI 脚本的快速功能测试环境。
明确适用边界：什么场景下该选 nspawn？
systemd-nspawn 不是 Docker 替代品，而是“精准隔离工具”。它在以下情况表现突出：
- 需要秒级启停、无守护进程依赖的临时运行环境
- 要求整个 rootfs 可打包、可版本化、可离线迁移（直接 tar -cf 即可）
- 需完整 systemd 支持（如 systemctl start nginx、journalctl 查日志）
- 宿主机已启用 cgroup v2 和 user namespaces，且安全策略允许 PrivateUsers=yes
- 不需要内置镜像仓库、集群调度、健康探针自动重启等上层能力
构建可复用的生产级容器根文件系统
关键不是“跑起来”，而是“跑得稳、管得住、换得快”。推荐使用 debootstrap + 定制脚本方式生成最小化 rootfs：
- 用标准发行版基础系统（如 Ubuntu 22.04 或 Debian 12），避免自定义镜像带来的维护黑洞
- 安装必要工具链后，执行 apt clean && rm -rf /var/lib/apt/lists/* /tmp/*，减小体积并清除缓存痕迹
- 禁用无关服务：systemctl disable systemd-timesyncd ssh.socket，防止容器内意外拉起网络服务
- 配置 /etc/machine-id 为空或固定值，避免 journal 日志跨实例混淆
- 将 rootfs 存放在 /var/lib/machines/ 下，并设为只读挂载（MountFlags=ro）提升安全性
启动时启用关键隔离与防护机制
单纯 systemd-nspawn -D /path 启动远远不够。生产环境必须显式声明隔离边界：
- 用户命名空间隔离：加 --private-users=pick 参数，让容器内 root 映射为宿主机非特权 UID，杜绝容器逃逸提权风险
- 文件系统保护：用 --read-only-root=yes 挂载根目录为只读；若需写入，仅通过 --bind=/host/data:/app/data 显式挂载必要路径
- 网络最小化：默认使用 host 网络（--network-veth 不强制开启）。如需隔离，配合 systemd-networkd 创建桥接网卡，并限制容器仅能访问指定端口
- 资源约束：通过 --scope --scope-property=MemoryMax=512M --scope-property=CPUQuota=50% 将容器纳入 cgroup v2 管控，防止单个容器耗尽资源
- IPC 与 PID 隔离：默认已启用，无需额外参数，但可通过 --keep-unit 配合 .service 文件实现 systemd 全生命周期管理
集成进 systemd 服务体系（非临时命令）
生产中不应依赖手工运行命令。应将容器作为 systemd unit 管理：
- 创建 /etc/systemd/nspawn/lora-test.nspawn 配置文件，定义 RootDirectory=、PrivateUsers=、NetworkVeth= 等持久化选项
- 编写对应 .service 文件（如 /etc/systemd/system/lora-test.service），Type=notify + ExecStart=/usr/bin/systemd-nspawn --machine=lora-test
- 启用 Restart=on-failure、RestartSec=10，并配 LimitNOFILE=65536 防止句柄泄漏
- 日志统一走 journald，禁用容器内 rsyslog，通过 StandardOutput=journal+console 控制输出粒度
- 启动前校验 rootfs 完整性（如 sha256sum 校验或 bind-mount 只读快照），失败则拒绝启动
这套做法不依赖外部组件，所有配置可 Git 版本化，所有行为受 systemd 统一审计与控制，既轻量又不失生产级严谨性。
