Docker 是一种虚拟化容器技术，可以提供轻量级的隔离环境。Docker 的隔离是通过以下几种方式实现的：
1.命名空间（Namespaces）
Docker 使用 Linux 的命名空间技术来隔离进程间的资源，例如网络、文件系统、用户等。每个 Docker 容器都有自己的命名空间，这意味着它们在容器内部看到的资源与主机和其他容器不同。
2.控制组（Control groups）
- Docker 使用 Linux 的控制组技术来限制容器可以使用的资源，例如 CPU、内存、磁盘和网络带宽。这使得 Docker 容器可以在共享主机上运行而不会影响其他容器或主机的性能。Linux 控制组是一种内核功能，用于将系统资源限制和分配给进程、用户组或进程树。它允许用户将系统资源（如 CPU、内存、磁盘、网络带宽等）分配给进程，并监控和限制进程使用这些资源的方式。cgroups 可以用于资源限制、优先级控制、进程管理等各种用途。
- Cgroups 可以使用层级结构来组织和管理资源。每个层级可以包含多个 cgroups，而每个 cgroup 可以有自己的资源限制和控制规则。这些限制和规则可以包括 CPU 时间配额、内存限制、IO 限制、网络带宽限制等。cgroups 可以在运行时进行动态调整，使得用户可以随时更改资源限制和控制规则。
3.文件系统（Filesystem）
每个 Docker 容器都有自己的文件系统，可以在其中安装软件包和存储数据。这使得每个容器的文件系统都是独立的，与其他容器和主机分离。
4.容器镜像（Container images）
Docker 容器使用容器镜像来创建，每个容器镜像都包含应用程序和所有依赖项。每个容器使用的镜像都是独立的，这意味着容器之间不会共享应用程序或依赖项。
通过这些隔离技术，Docker 可以提供一个轻量级的虚拟化环境，使得多个容器可以在同一主机上运行而不会相互干扰。这使得开发人员可以快速地测试和部署应用程序，同时也提高了主机的资源利用率。
Linux 的命名空间（Namespaces）技术可以用于实现进程之间的隔离。通过使用不同的命名空间，不同的进程可以看到不同的系统资源，从而实现资源的隔离和管理。以下是使用命名空间技术实现隔离的一些示例：
- 网络命名空间：网络命名空间可以让不同的进程或容器使用独立的网络栈。这样，每个进程或容器都有自己的网络接口、IP 地址、路由表和防火墙规则，使得它们可以在相同主机上运行而不会相互干扰。
- 文件系统命名空间：文件系统命名空间可以让不同的进程或容器使用独立的文件系统视图。这样，每个进程或容器可以看到自己的根目录、文件系统挂载点和文件系统权限，使得它们可以在相同主机上运行而不会相互干扰。
- 进程命名空间：进程命名空间可以让不同的进程或容器使用独立的进程视图。这样，每个进程或容器可以看到自己的进程树、进程 ID 和进程资源限制，使得它们可以在相同主机上运行而不会相互干扰。
- 用户命名空间：用户命名空间可以让不同的进程或容器使用独立的用户和组 ID。这样，每个进程或容器可以看到自己的用户和组 ID，使得它们可以在相同主机上运行而不会相互干扰。
使用命名空间技术可以轻松地实现进程之间的隔离，从而提高系统的安全性和稳定性。许多容器技术（如 Docker）使用命名空间技术来实现容器之间的隔离，使得容器可以在共享主机上运行而不会相互干扰。
