Ich hätte gerne einen Euro für jedes chroot setup dem elementare Dinge wie /dev/urandom & Friends fehlen

Mit einem normalen systemd unit und all den namespace-optionen erreiche ich die gleiche Sicherheit sauberer weil sich bei Dingen wie PrivateDevices=yes jemand was gedacht hat uid vor allem kann ich viel mehr limitierten

cgroups/namespaces etc mit systemd sind container ohne die Komplexität mitzuschleppen

Für echte Isolierung kommst du an einer VM nicht vorbei