在Docker中，资源限制主要是通过Linux内核的Control Groups (cgroups) 和 Namespaces 技术来实现的。
1. Control Groups (cgroups)
cgroups 是Linux内核的一个特性，它提供了一种机制来限制、记录、隔离进程组使用的物理资源（如CPU、内存、磁盘I/O等）。当Docker创建一个容器时，它会为该容器在其父进程（通常是 dockerd 或者 containerd）所在的cgroups子系统下创建一个新的cgroups层级结构。对于不同的资源类型，Docker会在相应的cgroups子系统中设置适当的限制：
- 内存限制：可以通过设置内存上限（比如
-m或--memory标志）限制容器可使用的总内存，还可以限制Swap空间的使用，避免容器因内存不足而影响整个系统的稳定性。 - CPU限制：可以限制容器可使用的CPU份额（比如
-c或--cpus标志）以及CPU周期数，也可以通过CPU亲和性设定容器只能在特定CPU核心上运行。 - 磁盘I/O限制：通过blkio子系统，可以限制容器对磁盘I/O的带宽和IOPS。
- 网络带宽限制：利用 Traffic Control (tc) 工具结合cgroups，可以对容器的网络带宽进行限制。
2. Namespaces
另一方面，Linux Namespace 提供了一种隔离进程视图的方法，包括但不限于以下几种类型的Namespace：
- pid namespace：隔离进程ID空间，容器内的进程具有独立的进程号。
- network namespace：每个容器拥有独立的网络栈，可以拥有自己的网络设备、IP地址、路由表等。
- mount namespace：每个容器拥有独立的挂载点视图，实现文件系统的隔离。
- UTS namespace：隔离主机名和域名。
- IPC namespace：隔离进程间通信资源，如System V IPC和POSIX消息队列。
- user namespace：隔离用户和组ID，增强安全性。
综上所述，在Docker中，通过结合cgroups和namespaces这两种核心技术，不仅可以实现对容器资源的精确限制，还能确保容器之间具备良好的隔离性，从而构建出轻量级、高效的容器化环境。
