Docker 实现资源隔离的主要方式包括以下几个方面：
1）Namespace（命名空间）
命名空间是一种Linux内核机制，允许创建独立的虚拟环境，其中进程可以拥有自己的资源视图。
Docker 使用 Linux 命名空间来实现进程间的隔离。每个容器在独立的命名空间中运行，使得容器之间的进程、网络、用户等资源互不干扰。
主要的命名空间包括：
- PID：进程ID命名空间，使容器内的进程看起来像是在独立的环境中。
- NET：网络命名空间，为每个容器提供独立的网络栈。
- IPC：进程间通信命名空间，隔离容器间的通信。
- MNT：挂载命名空间，隔离文件系统视图。
2）Control Groups（cgroups）
控制组是一种Linux内核机制，用于限制和隔离资源使用。
Docker 使用 cgroups 限制和监控容器的资源使用情况（如 CPU、内存、磁盘 I/O 等）。通过 cgroups，系统管理员可以限制某个容器的资源使用，防止其占用过多的系统资源。
cgroups 的关键功能包括：
- 限制资源使用（如最大 CPU 百分比、内存限制）。
- 监控资源使用情况。
3）文件系统隔离
Docker 利用联合文件系统（如 OverlayFS）提供容器文件系统的隔离。每个容器都有自己的文件系统视图，避免了不同容器之间的数据冲突。
4）网络隔离
Docker 可以为每个容器创建独立的网络环境，使用虚拟网络接口（Veth）和桥接网络等技术，实现容器间的网络隔离。
Docker提供了多种网络驱动，可以将容器连接到不同的网络中。通过使用不同的网络驱动和网络配置，可以实现容器之间的网络隔离，使得它们无法直接通信。
5）用户隔离
Docker 允许在容器中以非特权用户身份运行应用程序，从而限制其对主机系统的访问权限。
6）安全增强型Linux（SELinux）
SELinux是一种Linux内核的安全模块，可以提供更加细粒度的访问控制和隔离。Docker可以与SELinux集成，通过为容器分配不同的安全上下文，实现容器之间的隔离。
7）用户命名空间（User Namespaces）
用户命名空间是一种特殊的命名空间，用于隔离用户和用户组的ID。通过使用用户命名空间，Docker可以将容器内部的用户映射到宿主机上的不同用户，从而实现容器内外用户的隔离。
总结起来，Docker通过使用命名空间、控制组、用户命名空间、SELinux和容器网络隔离等技术手段，实现了容器与其他用户的隔离。
通过上述机制，Docker 可以实现高效且安全的资源隔离，使得多个容器可以在同一主机上并行运行而互不干扰。这种隔离能够确保容器之间的应用、进程、资源和网络完全独立，提高了安全性和可靠性。