Docker安全

前言 docker内部的隔离机制是经过namespace来作的，可是在Linux系统里面不少东西是不能经过namespace来隔离的，好比：时间。 容器的资源控制，而namespace把容器在咱们的linux系统网络成为独立个体，并不能作资源限制，极可能一个容器上面跑了一个java程序，可是这个容器把咱们的内存占用完了，那么这是不合理的。 因此必定要对docker容器的配额进行限额，资源限制。 d

>>阅读原文<<