説明
ラベル制約を使用して、セキュリティ ポリシー要件を満たすようにコンテナをスケジュールできます。ラベル制約は、ノードに割り当てられたラベルに基づいてサービスを実行できるノードを指定する方法です。
ラベルは、swarm 内の任意のノードに添付できるキーと値のペアです。たとえば、使用目的に応じて、ノードを開発または運用としてラベル付けできます。その後、サービスの作成または更新時に --constraint オプションを使用して、ラベルに基づいてノードをフィルタリングできます。たとえば、開発ノードでのみサービスを実行するには、次を使用できます。
docker service create --constraint'node.labels.environment ==development'...
実稼働ノードでのみサービスを実行するには、以下を使用できます。
docker service create --constraint'node.labels.environment ==production'...
こうすることで、セキュリティ ポリシーの要求に応じて、開発コンテナと運用コンテナが swarm 内の別々のノードで実行されるようにすることができます。参考文献:
* Docker Swarm での配置制約の使用
* Docker swarm での複数のラベル配置の制約
* Docker swarm のマシン制約
* サービス制約を複数の値に設定するにはどうすればよいですか

説明
ノード テイントは Kubernetes の概念であり、Swarm の概念ではないため、セキュリティ ポリシー要件を満たすようにコンテナーをスケジュールするためにノード テイントを使用することはできません。公式ドキュメントによると、ノードテイントは、一致する許容値がない限りポッドがスケジュールされるのを防ぐ特定の属性を持つノードをマークするために使用されます。
参考文献: https://kubernetes.io/docs/concepts/scheduling-eviction/taint-and-toleration/

説明
= ストレージは、コンテナーの分離を提供する Linux カーネル名前空間の一種ではありません。Linux 名前空間は、あるプロセスのセットが 1 つのリソースのセットを認識し、別のプロセスのセットが別のリソースのセットを認識するように、カーネル リソースを分割する Linux カーネルの機能です1。この機能は、一連のリソースとプロセスに同じ名前空間を持たせることで機能しますが、それらの名前空間は別個のリソースを参照します。カーネル バージョン 5.6 以降、マウント、UTS、IPC、PID、ネットワーク、ユーザー、cgroup、time2 の 8 種類の名前空間があります。ネームスペースの種類ごとに、ファイル システムのマウント、ホスト名とドメイン名、プロセス間通信、プロセス ID、ネットワーク インターフェイス、ユーザー ID とグループ ID、cgroup、システム時間 2 など、システムのさまざまな側面が分離されます。ストレージはその 1 つではありません。参考文献:
*1: Linux 名前空間 - Wikipedia
* 2: 名前空間 - Linux カーネルのドキュメント