Начиная с восьмой версии в Windows появился встроенный механизм контейнеров, которые позволяют изолировать процессы путем значительного усечения их прав. Этому системному механизму дали название Less Privileged App Container (LPAC), он поддерживается некоторыми приложениями, например браузером Chrome. В этой статье я покажу, как использовать его в своих программах.

Parallels Virtuozzo Containers, или просто Virtuozzo, — уникальное решение. В отличие от других подобных решений, Virtuozzo устанавливается на голое железо и представляет собой отдельный дистрибутив Linux (Virtuozzo Linux), который уже оптимизирован для задач виртуализации и хостинга. Все, что нужно, — взять и установить его!

Наверняка хоть раз в жизни тебе приходилось иметь дело с не вызывающими доверия приложениями и скриптами, которые могли навредить системе. Или ты хотел запустить браузер в максимально изолированном окружении, чтобы в случае его взлома твоей системе ничто не угрожало. Сегодня подобные задачи принято решать с помощью вездесущего Docker, однако есть масса гораздо более простых и удобных инструментов для быстрого запуска приложений в песочницах.

Такие технологии, как chroot(), обеспечивающая изоляцию на уровне файловой системы, FreeBSD Jail, ограничивающая доступ к структурам ядра, LXC и OpenVZ, давно известны и широко используются. Но импульсом в развитии технологии стал Docker, позволивший удобно распространять приложения. Теперь подобное добралось и до Windows.

Разработчики проекта OpenVZ опубликовали тестовые сборки дистрибутива Virtuozzo 7, который состоит только из открытых компонентов. Теперь все желающие получили возможность попробовать последнюю версию контейнеров OpenVZ. Отдельно отмечается, что опубликованные сборки компонентов Virtuozzo являются тестовыми и не готовы для серьёзного применения. Разработка новой версии всё ещё продолжается и продукт может содержать серьёзные баги.