Как работают контейнеры в Linux? За счёт чего обеспечиваются изоляция и управление ресурсами?

Контейнеры — изолированные процессы с общим ядром: namespaces разделяют представление системы, cgroups управляют учётом и ограничением ресурсов.

Файловое окружение задаёт образ и mounts; capabilities, seccomp и LSM дополнительно ограничивают полномочия. Это не отдельная виртуальная машина с собственным ядром. Изоляция зависит от конфигурации, особенно privileged-режима, host namespaces и доступных устройств.