На каких технологиях ядра Linux базируется работа контейнеров (Namespaces, Cgroups, Capabilities)?

- Namespaces — изоляция (процессы, сеть, ФС, пользователи);
- Cgroups — ограничение ресурсов (CPU, RAM, I/O);
- Capabilities — разделение root-привилегий.

Docker сам по себе изоляцию не создаёт — он использует механизмы ядра Linux. Вместе они создают ощущение отдельной системы, хотя все процессы работают на одном ядре.

Ещё вопросы по теме «Docker»

• Что такое эфемерные контейнеры?
• В чем принципиальная разница между виртуализацией и контейнеризацией?
• Что такое Docker Daemon и чем он отличается от Docker CLI?
• Из чего состоит Docker (компоненты платформы)?
• Что из себя представляет Docker-образ (image) и из чего он состоит?
• Что такое слои (layers) в Docker-образе и как работает copy-on-write?