更新中...
1. 解决问题
虽然Docker容器可以通过Namespace改变进程视图可见性，但是本质上容器这个进程及其内部的应用进程，都是统一归宿主机的操作系统管理，这就意味着，这个容器内部的进程和容器外部的宿主机的进程时处于平等竞争关系的。那么问题来了，这些资源占用怎么去隔离？---Cgroups
2. 主要作用
限制一个进程族能够使用的资源上限，包括CPU,内存，磁盘，网络带宽等。此外还能够对进程进行优先级设置、审计、以及将进程挂起和恢复等操作。
3. 详解
#TODO
Ref：《容器技术基本概念理解》
