Linux中的cgroups和namespace

1、可怜的容器，被Namespace欺骗，又被Cgroups限制，在这样的环境下还发挥着自己生命的意义，与应用程序同生共死。

2、cgroups只限制资源上限，并不能否锁定下限，很容易被抢资源，所以需要kubernetes 来帮你做调度。

3、Cgroup限制的是物理内存（内存分为虚拟内存和物理内存），限制虚拟内存的group要加memsw。
 

总结：

容器的资源隔离（进程视图）是通过linux namespace实现（进程启动时指定namespace参数），容器的资源限制（cpu，memory大小等）是通过linux cgroups实现（通过修改/proc目录下对应容器的文件信息），容器的隔离只是相对于容器进程本身做了隔离，宿主机操作系统还是可以看到对应容器进程的真实的进程信息。相较于虚拟机，容器通过共享宿主机的os内核从而更加的轻量级化，性能更高，但同时也使容器的隔离变的不彻底。这就意味着在windows宿主机上运行linux容器，以及在低版本的linux内核运行高版本linux容器是行不通的。同时，对于系统时间是不可以通过namespace进行隔离的。