十三、容器、Cgroup 与虚拟化

连接 Namespace、Cgroup、OverlayFS、容器运行时、虚拟机与宿主资源。

领域子图

节点目录

核心节点	类型	摘要
Linux Namespace	KernelSubsystem	为进程提供不同的系统资源视图，是容器隔离的核心原语。
Cgroup v2 与资源控制	KernelSubsystem	按层级组织进程并控制、统计 CPU、内存、I/O 和 PID 等资源。
OverlayFS 与容器运行时	UserSpaceComponent	通过镜像层、可写层、Namespace、Cgroup 和安全策略创建容器进程。
虚拟机、容器与宿主资源关系	Concept	区分硬件虚拟化和共享内核隔离，并追踪多层资源计费、超售和故障传播。

领域边界

• 本章以通用 Linux 机制为主，明确区分内核、POSIX、GNU 工具和发行版实现。
• 每个节点包含机制、生命周期、入边/出边、命令、指标、只读实验、风险和官方来源。
• 关系方向以 关系类型（知识图谱本体——开发工具） 定义为准，机器数据位于 图谱数据（开发工具）。

验证策略

文档结论先以官方资料核验；只读实验在 Linux 6.x 容器或虚拟机执行。涉及 root、网络、磁盘、权限、服务或 sysctl 写操作时，不在知识库生成阶段自动执行。