یک Container چیزی بیش از یک Process نیست که توسط قابلیت‌های Kernel لینوکس ایزوله شده است...

این ایزوله‌سازی عمدتاً با دو تکنولوژی کلیدی انجام می‌شود:

فضاهای نام(Namespaces): که جلوی دیدن منابع و فرآیندهای دیگر سیستم را می‌گیرد (مثل Process ID، Network، Filesystem و ...)

سی گروپ(Cgroups): که محدودیت‌هایی روی منابع (CPU، Memory، I/O و ...) اعمال می‌کند

به عبارت ساده‌تر:
Container = Process + Isolation

برخلاف تصور رایج، کانتینرها ماشین مجازی سبک نیستند و یک سیستم‌عامل کامل ندارند. آن‌ها فقط کد اپلیکیشن و وابستگی‌هایش را در یک محیط ایزوله اجرا می‌کنند.
این سادگی باعث شده کانتینرها فوق‌العاده سریع، سبک و قابل حمل باشند.

@ITSecurityComputer