面试真题

结论：容器隔离依赖Linux Namespace做视图隔离，Cgroups做资源限制。原理：Namespace提供PID、Mount、Network、UTS、IPC、User六种隔离，使容器拥有独立进程空间、网络栈和文件系统视图；Cgroups限制容器CPU、内存、IO使用量防止资源抢占；存储隔离由OverlayFS写时复制实现。对比虚拟机，容器共享宿主机内核，隔离性较弱但轻量高效。示例：docker run启动的容器拥有独立IP和进程树，互不可见。