【unshare 是使当前进程加入新的 namespace】这一说法并不完全准确，CLONE_NEWPID是特例，不影响当前调用进场，仅作用于新建的children进程。

怎么全程没有user namespace的参与呢？

clone的时候，指定参数CLONE_NEWNS | CLONE_NEWUTS | CLONE_NEWIPC |CLONE_NEWPID | CLONE_NEWNET |
CLONE_NEWCGROUP是create一个namespace吧，不是六个？是不是说这个namespace里的进程网络都是独立于root namespace?
如果创建一个网络namespace是不是这个namespace里运行的进程属于root namespace?

nsenter、ip netns exec、docker exec命令均是通过系统调用setns实现。

太赞了

这一讲让我对namespace在Docker中起什么作用的理解更深入了。

越看越有意思，逐渐深入