容器

Namespace是将内核的全局资源做封装，使得每个Namespace都有一份独立的资源，Cgroup（control group）是内核提供的一种资源隔离的机制，可以实现对进程所使用的资源进行限制。