gVisor (runsc) は、コンテナとホストカーネルの間に何を配置することで分離を強化しているか。

Kubeletの設定ファイルで、`authentication.x509.clientCAFile` が設定されていない場合、どのようなセキュリティリスクが生じるか。