Docker资源隔离（namespace，cgroups）

Docker 容器的资源隔离主要依赖于 Linux 的两个核心特性：命名空间（namespaces）和控制组（cgroups）。