Docker 虚拟化的原理主要是基于 Linux 内核的 cgroups（控制组）和 namespaces（命名空间）技术实现的。
1. cgroups：cgroups 是 Linux 内核中用于限制、控制和监视进程组的资源消耗的一种机制，它可以将一组进程组织在一起，并为这组进程分配资源。Docker 使用 cgroups 来限制容器可以使用的 CPU、内存、磁盘等资源。
2. namespaces：namespaces 是 Linux 内核中用于隔离进程之间的不同资源的一种机制，它可以为每个进程提供一个独立的视图，使得进程之间看起来像运行在不同的系统中一样。Docker 使用 namespaces 来实现容器之间的隔离，包括 PID 命名空间（进程隔离）、网络命名空间（网络隔离）、挂载命名空间（文件系统隔离）等。
通过使用 cgroups 和 namespaces 技术，Docker 实现了容器的隔离和资源管理，使得多个容器可以在同一台主机上运行，互不干扰，并且可以更高效地利用主机的资源。
