容器为应用程序提供了隔离的运行空间：每个容器内都包含一个独享的完整用户环境空间，并且一个容器内的变动不会影响其他容器的运行环境。为了能达到这种效果，容器技术使用了一系列的系统级别的机制诸如利用Linux namespaces来进行空间隔离，通过文件系统的挂载点来决定容器可以访问哪些文件，通过cgroups来确定每个容器可以利用多少资源。此外容器之间共享同一个系统内核，这样当同一个库被多个容器使用时，内存的使用效率会得到提升。

对于系统虚拟化技术来说，虚拟层为用户提供了一个完整的虚拟机：包括内核在内的一个完整的系统镜像。CPU虚拟化技术可以为每个用户提供一个独享且和其他用户隔离的系统环境，虚拟层可以为每个用户分配虚拟化后的CPU、内存和IO设备资源。

（题图来自：securenetworksitc.com）

哪家强？

通常来说，这取决于你的需求。如果你只是希望将应用运行的实例进行隔离，那么对于管理应用运行环境、启动应用实例以及控制资源开销方面容器将是一个极为高效的工具。像Docker这一类的容器，其设计原则就是为了解决这种应用环境的修改以及应用部署的问题，并且这十分符合DevOps理念（你可能希望知道更多关于DevOps理念的内容）。

如果你从服务器虚拟化的角度来寻找最好的环境隔离方案，那么系统级的虚拟化是更好的方案：和容器相比，邻居租户（Noisy neighbours ）对系统的影响在虚拟化的方案下将不是一个问题。尽管现在很多容器都在专注于提高其隔离能力，但是虚拟机的隔离还是要优于容器。从物理服务器过渡到虚拟服务器是一个很自然的过程，并且现在针对虚拟服务器的管理的生态系统也很完善。

在z系统中，Linux具有很好的伸缩性（运行容器），但是z是一个极度高效虚拟化（运行虚拟服务器）的平台，它继承了整个系统架构。尽管没有精确的测量，将虚拟化和容器技术相结合，在z系统中会比其他平台要容易。

还有第三条路：两者兼而有之。

有多种方式可以将系统虚拟化及容器技术相结合：

1.一个容器中运行一个虚拟机

Docker在部署容器方面十分灵活。其中一个选择（execution driver）是利用KVM镜像。这样就可以在最好的隔离性情况下发挥DevOps所擅长的使用Docker各种方式。但是这也付出了需要在启动容器时启动整个操作系统实例的代价。这也就意味着较长的启动时间以及低效的内存使用，只能通过内核共享内存（KSM）来提升内存利用率。这种方法效果和效率都不理想，但是这是一个好的开始。

2.一个虚拟机中运行一个容器

与之相反的，你一可以在虚拟机中启动一个容器。这里的虚拟机并不是由Docker控制，而是通过现有的虚拟化管理设施来控制。一旦系统实例启动，就可以通过Docker来运行容器而武器其他特殊的设置。同时，由于不同容器运行在不同的虚拟机上，容器之间也能有很好的隔离。而内存的使用率需要通过虚拟层的内存共享来提升。

2b.一个虚拟机中运行多个容器

对于多租户的情况，可以用另一种形式在虚拟机中运行Docker。这种情况下，我们假设在不同租户的容器之间需要强隔离，而对于同一用户的不同容器，简单的Linux容器隔离已经足够。这样我们就可以在减少虚拟机个数的情况下保证租户之间的隔离，同时可以利用Docker带来的各种便利。

总结来说：需要根据实际需求进行选择。