Docker repose sur des processus Linux ordinaires, isolés par les namespaces et soumis à des limites de ressources grâce aux cgroups. L’article détaille les étapes de docker run, de la CLI à runc, puis propose des simulations interactives pour observer l’isolation des PID et le blocage d’une fork bomb. Des commandes unshare, systemd-run et docker permettent de reproduire les mécanismes sans lancer d’attaque réelle. Il souligne qu’un conteneur sans limites explicites peut épuiser les ressources de l’hôte.