传统 Unix 权限分为 root 和非 root，Capabilities 将 root 权限拆分为 40 多个独立能力。每个进程有五个能力集，控制权限的获取和传递。文件能力替代 setuid，Ambient 能力解决 execve 后丢失问题。CAP_SYS_ADMIN 权限过大，正逐步拆分。