Чем обеспечивается изоляция контейнеров?

Namespaces разделяют представления системных ресурсов, а cgroups учитывают и ограничивают их потребление.

Дополнительную защиту дают права, capabilities, seccomp и механизмы контроля доступа; контейнеры обычно используют общее ядро хоста.