Namespace đo thật: cùng một tiến trình sleep là PID 1 bên trong container nhưng PID 90064 trên host, hai container cô lập năm trục bằng năm inode kernel khác nhau, nhưng dùng chung user namespace nên root trong container là uid 0 thật
Container không phải máy ảo mà là nhóm tiến trình Linux bị cô lập cái nó nhìn thấy. Dựng hai container debian và đo: cùng một sleep là PID 1 bên trong nhưng 90064 trên host, mỗi container chỉ thấy tiến trình của mình. So inode namespace qua readlink /proc/1/ns: pid, net, mnt, uts, ipc đều khác giữa hai container; nhưng user namespace cùng inode 4026531837, nghĩa là Docker mặc định không bật user namespace và root trong container là uid 0 thật trên host. docker exec chui đúng vào namespace của container, và shared memory tạo ở container này container kia không thấy.