Стандартная реализация проверки прав доступа в Unix разделяет процессы на 2 категории: привилегированные процессы (у которых действующий идентфикатор пользователя равен 0, обычно это суперпользователь или root), и непривилегированные (действующие идетификаторы не равны 0). На привилегированные процессы не действуют проверки безопасности ядра, в отличие от непревилигированных, для которых выполняются стандартные проверки прав доступа (обычно это проверки действующего идентфикатора пользователя/группы и списка дополнительных групп).
Начиная с версии 2.2, ядро Linux предоставляет систему полномочий (все еще не полную), которая позволяет представить стандартные привилегии суперпользователя в виде набора индивидуальных частей, каждая из которых может включена или отключена независимо друг от друга.
Каждый виртуальный контейнер по-умолчанию обладает набором полномочий (см. capabilites(7)), достаточных для работы большинства сервисов. Этот набор позволяет глобально (на уровне контейнера) ограничить список доступных привилегий для процессов внутри контейнера. Если вам необходимо расширить этот список, то вы можете воспользоваться интерфейсом управления пролномочиями контейнера OpenVZ.