is_scarecrow的博客

linux中的pid、ipc、网络等都属于全局的，但是namespace是一种资源隔离方案，在namespace下这些资源相互独立，属于某一个特定的namespace互不干扰，不再是全局的了。namespace实现资源隔离后，进程还是可以不受控制的访问系统资源，比如：CPU、内存、磁盘、网络等，为了控制容器中进程对资源的访问。每一次都会创建一个临时容器，这样做的好处是如果下次再重新构建这个dockerfile的时候，直接从cache中读出已有的容器，不重复创建容器，这样大大节省了构建时间，也不会浪费资源。