Cada contenedor inicia un kernel independiente incluido con la aplicación.

Siempre emula un equipo físico completo con sus propios dispositivos de hardware.

Aísla los procesos y las vistas del sistema de archivos mientras comparte el kernel del host.

No proporciona ningún aislamiento de procesos ni del sistema de archivos.