Capabilities de Linux (add/drop) y niveles de Pod Security Admission (privileged, baseline, restricted)

Tradicionalmente en Linux, root podía hacerlo todo y los demás usuarios casi nada. Las capabilities dividen el poder de root en privilegios más pequeños con nombre, como NET_BIND_SERVICE (enlazarse a puertos por debajo de 1024), NET_ADMIN (cambiar la configuración de red), CHOWN (cambiar el propietario de archivos) y SYS_ADMIN (un conjunto muy amplio de acciones administrativas). Los runtimes de contenedores dan a los contenedores un subconjunto de capabilities por defecto, y puedes ajustarlo por contenedor.