docker可以隔離資源。

docker容器的本質(zhì)是宿主機上的一個進程。

Docker通過namespace實現(xiàn)了資源隔離，通過cgroups實現(xiàn)了資源限制，通過*寫時復制機制（copy-on-write）*實現(xiàn)了高效的文件操作。

namespace 機制提供一種資源隔離方案。

PID，IPC，Network等系統(tǒng)資源不再試全局性的，而是屬于某個特定的Namespace.

每個namespace下的資源對于其他的namespace下的資源是透明的，不可見的。

Linux 內(nèi)核實現(xiàn)namespace的一個主要目的就是實現(xiàn)輕量級虛擬化（容器）服務，在同一個namespace下的進程可以感知彼此的變化，而對外界的進程一無所知，以達到獨立和隔離的目的。

namespace（命名空間）可以隔離哪些：

文件系統(tǒng)需要是被隔離的

網(wǎng)絡(luò)也是需要被隔離的

進程間的通信也要被隔離

針對權(quán)限，用戶和用戶組也需要隔離

進程內(nèi)的PID也需要與宿主機中的PID進行隔離

容器也要有自己的主機名

有了以上的隔離，我們認為一個容器可以與宿主機和其他容器是隔離開的。

恰巧Linux 的namespace可以做到這些。