docker容器通过什么隔离

Namespace 技术

Namespace 并不是一个新技术，它是Linux操作系统默认提供的API，包括 PID Namespace、Mount Namespace、IPC Namespace、Network Namespace等等。

以 PID Namespace 为例，它的功能是可以让我们在创建进程的时候，告诉Linux系统，我们要创建的进程需要一个新的独立进程空间，并且这个进程在这个新的进程空间里的PID=1，也就是说，这个进程只看得到这个新进程空间里的东西，看不到外面宿主机环境里的东西，也看不到其它进程（不过这只是一个，事实上这个进程在宿主机里PID该是什么还是什么，没有变化，只不过在这个进程空间里，该进程以为自己的PID=1）。

另外，Network Namespace 的技术原理也类似，让这个进程只能看到当前Namespace空间里的网络设备，看不到宿主机真实情况。Namespace 技术其实就是修改了应用进程的视觉范围，但应用进程的本质却没有变化。

Cgroups 技术

Cgroup 其功能就是限制进程组所使用的最大资源（这些资源可以是 CPU、内存、磁盘等等）。

Namespace 技术只能改变一下进程组的视觉范围，并不能真实的对资源做出限制。那么为了防止容器（进程）之间互相抢资源，甚至某个容器把宿主机资源全部用完导致其它容器也宕掉的情况发生。因此，必须采用 Cgroup 技术对容器的资源进行限制。

Cgroup 技术也是Linux默认提供的功能，在Linux系统的 /sys/fs/cgroup 下面有一些子目录 cpu、memory等，Cgroup技术提供的功能就是可以基于这些目录实现对这些资源进行限制。Cgroup 对其它内存、磁盘等资源也是采用同样原理做限制。

提示：现在腾讯云新人点击注册然后实名认证后，可以点此一键领取2860元代金券，然后点此进入腾讯云活动页面参加优惠力度非常大的腾讯云3年和5年时长服务器活动，一次性买多年，免得续费贵，这样就可以获得最大的优惠折扣，省钱。