以 Docker 为代表的普通容器隔离性具有哪些天然的缺陷？

1. 内核 Bug 引发容器逃逸，操作系统内核漏洞、Docker 组件设计缺陷、不当的配置等都会导致 Docker 容器发生逃逸。由于频发的安全及逃逸漏洞，一般在云环境中的容器应用不得不运行在虚 拟机中，以满足多租户安全隔离要求。而分配、管理、运维这些传统虚拟机与容器轻量、灵活、 弹性的初衷相悖，同时在资源利用率、运行效率上也存在不足。
2. 内核资源竞争影响业务性能，同 一个宿主机上的不同 Pod，实际上是不同的用户态进程的集合，这些用户态进程虽然在命名空间 上是相互隔离的，但他们还是会共享很多内核资源，比如调度器、某些内核线程或者对象。这种 级别的资源共享会引入很多可以观测到的性能抖动，对在线业务的影响也很明显。

答复内容摘自《云原生：新生产力的飞跃》，这本电子书收录开发者藏经阁 下载连接：https://developer.aliyun.com/ebook/7622