説明
kubectl drain <ノード名> コマンドは、ノード上のすべての Pod を正常に終了させ、同時にノードをスケジュール不可としてマークするために、ノード上で実行すべき正しいコマンドです。このコマンドは、パッチのインストールや OS のアップグレード 1 など、ノードのメンテナンスを実行する前に、ノードからすべての Pod を安全に削除します。指定した PodDisruptionBudget があればそれを尊重し、Pod のコンテナを正常に終了させます 1。また、ノードをスケジュール不可としてマークするため、ノードが準備完了になるまで、新しい Pod をスケジュールすることはできません 1。
他のコマンドが正しくない理由は以下のとおりです。
*docker swarm leave コマンドを実行すると、ノードはスウォームクラスタから離脱しますが、node2 上の Kubernetes ワークロードには影響しません。
*docker node update -availability drain <ノード名> は、ノードの可用性を drain に変更します。これは、ノードに新しいタスクを割り当てることができないことを意味しますが、ノード上の既存のポッドは終了しません。
*kubectl cordon <ノード名> はノードをスケジュール不可としてマークしますが、ノード4上のポッドは削除されません。
参考文献：
ノードを安全にドレインする方法 | Kubernetes
*[docker swarm leave | Docker Docs]
*[docker node update | Docker Docs]
*[kubectl cordon | Kubernetes ドキュメント]

イメージタグ myorg/myimage:1.0 が署名されておらず、環境変数 DOCKER_CONTENT_TRUST=1 が設定されている場合、Docker はコマンド docker container run myorg/myimage:1.0 をブロックします。これは、DOCKER_CONTENT_TRUST=1 を設定すると、Docker Content Trust (DCT) が有効になるためです。DCT は、ユーザーがデジタル署名を使用して Docker イメージの整合性と発行元を検証できる機能です。
DCT が有効になっている場合、Docker は有効な署名を持つイメージのみをプル、実行、またはビルドします。イメージ タグに署名がない場合、または署名が無効な場合、Docker は操作を拒否し、エラー メッセージ 2 を表示します。したがって、DCT が有効になっている状態で署名されていないイメージを実行するには、DOCKER_CONTENT_TRUST=0 を設定して DCT を無効にするか、--disable-content-trust フラグを使用するか、または有効なキー 3 でイメージ タグに署名する必要があります。参考資料:
* Dockerにおけるコンテンツの信頼性
* Dockerイメージが署名されているか、署名されていないかを判定する
* イメージへの署名とDockerコンテンツトラストの有効化

説明
mnt 名前空間はデフォルトでは無効になっておらず、使用するために Docker エンジン実行時に有効にする必要はありません。mnt 名前空間は、Docker がコンテナをホスト システムから分離するために使用する 6 つの Linux カーネル名前空間の 1 つです 1。mnt 名前空間を使用すると、コンテナはホストとは異なる独自のマウントされたファイルシステムとルート ディレクトリのセットを持つことができます 2。つまり、コンテナは、ホストや他のコンテナにマウントされているファイルやディレクトリではなく、その名前空間内にマウントされているファイルやディレクトリにのみアクセスできます。mnt 名前空間は、コンテナが起動すると自動的に作成され、コンテナが停止すると破棄されます 3。
参考文献：
* ユーザー名前空間を使用してコンテナを分離する | Dockerドキュメント
* mnt名前空間 - Dockerクックブック - 第2版
* コンテナセキュリティの基礎 パート2：分離と名前空間
mnt は、デフォルトでは無効になっている Linux カーネルの名前空間ではなく、使用するには Docker エンジンの実行時に有効にする必要があります。公式ドキュメントによると、mnt は分離のために名前空間を使用する場合にデフォルトで有効になる名前空間の 1 つです。
参考資料: https://docs.docker.com/engine/security/userns-remap/#user-namespace-known-limitations