我最近开始学习 docker，似乎大部分繁重的工作都是由 Linux 内核完成的，使用命名空间和 cgroup。
我发现一些令人困惑的事情是：
命名空间和 cgroup 有什么区别？他们解决了哪些不同的用例？
docker 在这些基础上实施了什么来获得人气？
我想知道这些功能的内部原理以及它们是如何实现的。
【问题讨论】：
这两个概念的正确链接已在PR 14307 中修复：
在底层，Docker 建立在以下组件之上：
Linux 内核的 cgroups 和
namespaces功能
与：
简而言之：
在Jérôme Petazzoni的“Anatomy of a Container: Namespaces, cgroups & Some Filesystem Magic”上查看更多信息。
Cgroups 涉及资源计量和限制：
命名空间为进程提供自己的系统视图
多个命名空间：
【讨论】：
chroot 是否基于某个命名空间？ chroot 可以替换成某个命名空间吗？
chroot 替换为某个命名空间吗？
pivot_root？ (unix.stackexchange.com/a/456777/7490) 另见github.com/vincentbernat/jchroot
cgroups 限制一个进程或一组进程可以使用的资源这些资源可以是 CPU、内存、网络 I/O 或对文件系统的访问，而命名空间限制进程组对系统其余部分的可见性。
更多详情请访问How Linux Kernel Cgroups And Namespaces Made Modern Containers Possible
【讨论】：
Cgroups（控制组）进行资源管理。
它决定了将多少主机资源分配给容器。
例如：- 我们在 docker-compose yaml 文件中定义资源来创建服务，例如：
资源： 限制： CPU：“0.1”（100 毫核） 内存：50M在此示例中，我们明确要求 cgroup 将这些资源分配给特定容器。
Namespaces：提供进程隔离、容器完全隔离、独立文件系统。