一、进程
当我写了一个程序，用于计算1+1，由于计算机只认识0和1，那么当我从运行程序到看到结果，这个过程中，操作系统需要做如下操作
首先，操作系统从“程序”中发现输入数据保存在一个文件中，所以这些数据就会被加载到内存中待命。同时，操作系统又读取到了计算加法的指令，这时，它就需要指示 CPU 完成加法操作。而 CPU 与内存协作进行加法计算，又会使用寄存器存放数值、内存堆栈保存执行的命令和变量。同时，计算机里还有被打开的文件，以及各种各样的 I/O 设备在不断地调用中修改自己的状态。
就这样，一旦“程序”被执行起来，它就从磁盘上的二进制文件，变成了计算机内存中的数据、寄存器里的值、堆栈中的指令、被打开的文件，以及各种设备的状态信息的一个集合。像这样一个程序运行起来后的计算机执行环境的总和，就是：进程。
对于进程来说，它的静态表现就是程序，平常都安安静静地待在磁盘上；而一旦运行起来，它就变成了计算机里的数据和状态的总和，这就是它的动态表现。
而容器技术的核心功能，就是通过约束和修改进程的动态表现，从而为其创造出一个“边界”。
二、Namespace 技术
2.1、什么是Namespace？
我们在linux系统中运行一个进程，那么他的进程号PID=100，运行下一个进程则是PID=101，那么在101号进程创建时，给他施一个“障眼法”，让他以为他是第一号(PID=1)，他永远看不到前100号进程，那么他永远是PID=1，这种技术，就是Linux 里面的 Namespace 机制。
2.2、Linux中如何实现Namespace？
Linux在创建进程，调用clone()方法，返回一个int类型的pid
int pid = clone(main_function, stack_size, SIGCHLD, NULL);
在clone()中提供了一个可选参数CLONE_NEWPID，当我们在创建进程时，传入该参数
int pid = clone(main_function, stack_size, CLONE_NEWPID | SIGCHLD, NULL);
这时，新创建的这个进程将会“看到”一个全新的进程空间，在这个进程空间里，它的 PID 是 1。
我们还可以多次执行上面的 clone() 调用，这样就会创建多个 PID Namespace，而每个 Namespace 里的应用进程，都会认为自己是当前容器里的第 1 号进程，它们既看不到宿主机里真正的进程空间，也看不到其他 PID Namespace 里的具体情况。
而除了我们刚刚用到的 PID Namespace，Linux 操作系统还提供了多种类型的Namespace： Mount、UTS、IPC、Network 和 User 。这些 Namespace，用来对各种不同的进程上下文进行“障眼法”操作。
比如，Mount Namespace，用于让被隔离进程只看到当前 Namespace 里的挂载点信息；Network Namespace，用于让被隔离进程看到当前 Namespace 里的网络设备和配置。
这，就是 Linux 容器最基本的实现原理了。
所以，Docker 容器这个听起来玄而又玄的概念，实际上是在创建容器进程时，指定了这个进程所需要启用的一组 Namespace 参数。这样，容器就只能“看”到当前 Namespace 所限定的资源、文件、设备、状态，或者配置。而对于宿主机以及其他不相关的程序，它就完全看不到了。
所以说，容器，其实是一种特殊的进程而已。
