Устройство контейнеров: пространства имён и cgroups

Коротко: Контейнер — не мини-компьютер, а обычный процесс Linux, отгороженный от остального пространствами имён и ограниченный в ресурсах cgroups.

Подробнее: Пространства имён дают процессу собственный взгляд на системные ресурсы: собственные идентификаторы процессов, сеть, файловую систему, имя хоста, пользователей. Cgroups ограничивают CPU, память и ввод-вывод. Файловая система overlay складывает образ из слоёв только для чтения и одного записываемого верхнего слоя.

Подробности

• Пространства имён: pid, net, mnt, uts, ipc, user…

См. также: системные вызовы и режим ядра, безопасность контейнеров