Как Docker контейнер взаимодействует с ОС при запуске

Docker контейнеры работают поверх ядра хостовой ОС через механизм изоляции процессов (namespaces) и ограничения ресурсов (cgroups).

Namespaces изолируют процессы, сеть, файловую систему и другие ресурсы, создавая видимость отдельной среды.
Cgroups ограничивают использование CPU, памяти и других ресурсов.

Пример:

# Запуск контейнера с ограничением CPU (50% одного ядра)  
docker run --cpus="0.5" -it python:3.9 bash

Контейнеры используют общее ядро ОС, но изолированные процессы. Файловая система монтируется либо как overlay (через OverlayFS), либо напрямую, если используется -v для volume.