用途：该技能聚焦虚拟化与隔离架构，帮助在“隔离强度”与“开销/密度”之间选择最弱但足够的边界，核心决策依据是工作负载的信任级别。
主要能力：给出隔离谱系对比，包括进程加命名空间/cgroups（容器，共享内核、隔离最弱、开销最低、密度最高、启动毫秒级，适合可信多服务）；gVisor/用户态内核（系统调用拦截，开销中等、有性能损失，适合半可信且对 k8s 友好场景）；microVM（Firecracker、Kata，自带内核与极小设备模型，启动约 125ms，适合不可信多租户如 FaaS）；完整虚拟机（type-1 KVM/Xen、type-2，隔离最强、每 VM 开销最高，适合强租户隔离与混合操作系统）。
机制要点：区分 type-1 裸金属（KVM、Xen、Hyper-V、ESXi）与 type-2 托管（VirtualBox），默认具备硬件辅助虚拟化（VT-x/AMD-V、EPT/NPT）；容器由命名空间（pid/net/mnt/user 等）加 cgroups（CPU/内存/IO 限制）构成，配合 capabilities、seccomp，常加 userns 实现 rootless，但本身不构成抵御内核漏洞的安全边界；microVM 以最小设备模型加自有客户机内核，实现接近容器速度与密度的 VM 级隔离，是 FaaS 的甜点区（Lambda 使用 Firecracker）；机密计算通过 SEV-SNP/TDX 对主机加密客户机内存，适用于不可信主机场景。
使用方式与建议：内部可信微服务用容器加 cgroups、seccomp、rootless；运行不可信或租户代码用 Firecracker/Kata microVM 或 gVisor；需要混合操作系统、强租户隔离或遗留系统时用 type-1 上的完整虚拟机。
限制：资料未提供具体安装命令、配置示例、性能基准数据、收费与平台支持信息。