容器隔离是多层机制叠加
Namespace看视图，cgroup控资源，安全策略收窄权限，内核仍共享
Pod运行单元
共享部分网络与存储视图
Namespace
隔离进程、网络、挂载等视图
cgroup
限制CPU和内存
控制资源边界
安全策略
capabilities
seccomp与AppArmor
容器运行时
创建容器进程
对接宿主机内核
共享宿主机内核，需要额外安全边界