虚拟机与容器对比
两者是两种隔离思路。虚机虚拟化整台硬件，各自运行完整内核与系统，边界硬、能跑异构系统；容器共享宿主内核，靠命名空间做隔离、靠控制组做资源限制，启动快、密度高，但内核版本必须兼容。选型看的是隔离强度、系统异构需求与交付形态，而不是谁更新。
基本信息
| 隔离机制 | 虚机走硬件级虚拟化，容器走内核命名空间与控制组 |
|---|---|
| 内核关系 | 虚机各自独立内核；容器与宿主共用内核 |
| 交付形态 | 虚机交付整盘镜像；容器交付分层镜像 |
| 启动与密度 | 虚机通常数十秒级；容器通常秒级，密度更高 |
| 持久化 | 容器可写层随容器重建消失，数据必须落在卷上 |
对比维度
| 维度 | 虚拟机 | 容器 |
|---|---|---|
| 隔离边界 | 硬件级（独立内核） | 内核级（命名空间 / cgroup） |
| 启动速度 | 通常数十秒级 | 通常秒级 |
| 镜像与分发 | 整盘镜像（GB 级） | 分层镜像（MB 至 GB） |
| 系统支持 | 可运行异构系统 | 需与宿主内核兼容 |
| 典型场景 | 强隔离、异构系统、整机迁移 | 微服务、弹性扩缩、CI/CD |
典型使用场景
- 需要强隔离：多租户或合规要求下用虚机划开边界
- 需要异构系统：同一台宿主上跑不同发行版或不同内核
- 需要快速伸缩：微服务与无状态服务用容器横向扩缩
- 需要整机交付：交付形态是整机镜像或整机迁移时用虚机
- 混合部署：容器集群跑在虚机上，兼顾兼容性与弹性
两者依赖的内核能力不同
两者依赖的内核能力不同
# 容器：namespaces + cgroups
lsns | head -3
systemd-cgtop -1 | head -5
# 虚机：KVM 模块 + /dev/kvm
lsmod | grep kvm
ls -l /dev/kvm容器镜像要与宿主内核特性匹配：依赖新内核特性构建的镜像，在旧内核宿主上会直接启动失败。
容器不是轻量级虚机：逃逸后的影响面是宿主内核，涉密或强隔离要求场景要先做安全评估再决定隔离形态。