docker依赖linux内核特性

linux的命名空间就是为了实现轻量级虚拟化服务即容器，容器中的进程可以感知相互之间的变化，而容器之间的进程一无所知。

linux的隔离资源使用control groups 限制记录隔离进程组所需物理资源机制，没有cgroups就没有容器

memory子系统为内存设定一个上限，一旦进程组使用内存达到限额，会发出out of memory

设定哪些进程组优先使用磁盘io，更大的cpu

计算进程组使用了多少系统资源，尤其是计费系统中

可以将进程组挂起恢复