容器隔离 = 可见范围隔离 + 资源使用控制
Namespaces
Cgroups
决定容器进程“能看到什么”
决定容器进程“能用多少”
PID：独立进程编号视图
Network：独立网络栈
Mount / UTS / IPC / User
CPU：权重与配额
Memory：上限与 OOM
IO / PIDs / Device 控制
两者共同作用于同一组容器进程，但职责边界不同