説明
EXPOSE または -publish を使用してブリッジ ネットワーク上のコンテナにアクセスしても、ホストのネットワークから到達可能なコンテナを作成するという目的は達成できません。EXPOSE は、コンテナがリッスンするポートを文書化する方法ですが、host1 に対してポートを開きません。-publish (または -p) は、ホスト ポートをコンテナ ポートにマッピングする方法ですが、container2 のネットワーク モードは変更しません。デフォルトでは、Docker コンテナはブリッジ ネットワークを使用し、ホスト ネットワークからコンテナを分離します3。ホストのネットワークからアクセス可能なコンテナーを作成するには、コンテナーの実行時に --network host オプションを使用する必要があります4。これにより、コンテナはホストのネットワーク スタックを共有し、ホストと同じ IP アドレスを持つようになります4。参考文献:
※1：Dockerにおける「公開」と「公開」の違い | 運用に関する Baeldung
* 2: サービスを swarm にデプロイする | ドッカードキュメント
※3：ブリッジネットワーク | ドッカードキュメント
* 4: ホストネットワーク | ドッカードキュメント

説明
user は、デフォルトでは無効になっている Linux カーネル名前空間であり、使用するには Docker エンジン ランタイムで有効にする必要があります。公式ドキュメントによると、ユーザー名前空間のサポートは次の 2 つの方法で明示的に有効にする必要があります。
dockerd デーモンは --userns-remap フラグを使用して起動する必要があります。
--userns-remap に指定されたユーザーまたはグループには、下位のユーザー ID とグループ ID が割り当てられている必要があります。
/etc/subid および /etc/subgid ファイル。
参考資料: https://docs.docker.com/engine/security/userns-remap/#enable-userns-remap-on-the-daemon
https://docs.docker.com/engine/security/userns-remap/#prerequisites-for-user-namespace-remapping

説明
リソース予約は、サービスまたはコンテナーが必要とする CPU およびメモリ リソースの量を指定できる機能です。これは、スケジューラが十分な利用可能なリソースがあるノードにサービスまたはコンテナを配置するのに役立ちます。ただし、リソース予約は、サービスまたはコンテナーがどのノードで実行されるかを制御しません。また、異なるサービスまたはコンテナー間の分離や分離を強制することもありません。
したがって、リソース予約を使用して、セキュリティ ポリシー要件を満たすようにコンテナーをスケジュールすることはできません。
参考文献:
* [コンテナ用のコンピューティング リソースを予約する]
* [Docker Certified Associate (DCA) 学習ガイド]
https://docs.docker.com/config/containers/resource_constraints/
https://success.docker.com/certification/study-guides/dca-study-guide

説明
プロセス ID は、コンテナーの分離を提供する Linux カーネル名前空間の一種です。プロセス ID (pid) 名前空間はプロセス ID 番号空間を分離します。これは、異なる pid 名前空間のプロセスが同じ PID を持つことができることを意味します。これにより、各コンテナーが独自の初期プロセス (PID 1) を持つことができます。これは、コンテナー内で開始される最初のプロセスであり、コンテナー内の他のすべてのプロセスの祖先となります。また、Pid 名前空間は、同じ pid 名前空間を共有しているか、CAP_SYS_PTRACE 機能を持っている場合を除き、あるコンテナ内のプロセスが別のコンテナまたはホスト システム上のプロセスを認識したり、プロセスに通知したりすることを防ぎます。参考文献:
https://docs.docker.com/engine/reference/run/#pid-settings-pid、
https://en.wikipedia.org/wiki/Linux_namespaces#Process_ID_(pid)