cgroup

Без лимитов один контейнер способен исчерпать всю память хоста или загрузить все ядра процессора, что приведёт к деградации остальных сервисов или к массовому OOM-kill. Docker предоставляет встроенные механизмы ограничения ресурсов на уровне cgroup, которые задаются при запуске контейнера...