>делать каждому демону свой собственный контейнер - это приведет
>к увеличению сложности системы и усложнит администрированиеПо крайней мере с некоторыми типами контейнеров возможно в рамках одного корня организовать разные контексты -- Петя Савельев в RADLinux когда-то так делал на vserver (эмбедщина по сути). Насколько качественно изолирует -- не скажу, не всматривался.
>особенно, если какие-то демоны должны будут взаимодействовать между собой.
>и там останется только единственное средство для IPC - стек tcp/ip протоколов?
Нуу ещё бывает shm и вообще-то сокеты можно mount --bind, но это всё работа пинцетом.
>поэтому на первый и на второй взгляд SELinux кажется более оптимальным решением.
Когда работает. :) Задачи бывают разные, для многих куда проще сделать полупустой контейнер без лишних привилегированных бинарей, чем пытаться добить политику.