一· Namespace隔离虚拟环境

• pid namespace让容器只看到属于自己的进程
• user namespace让容器只看到属于自己的用户
• net namespace让容器只看到属于自己的网卡

二· Cgroup控制资源

Cgroup控制CPU和内存的配额，不能干扰同宿主机上别的程序的运行，也保证宿主机分配足够的资源给容器

三· chroot虚拟化文件系统

让容器只看到容器自己的文件
AUFS呈现一个虚拟的文件系统