Contenedor
Un proceso aislado que se comporta como si tuviera la máquina para él solo, pero comparte el núcleo con los demás.
El aislamiento lo proporcionan mecanismos del núcleo de Linux: los namespaces deciden qué puede ver el proceso y los cgroups cuántos recursos puede consumir. No hay hardware emulado, de ahí que arranque en milisegundos.
La diferencia con una máquina virtual importa en seguridad: al compartir núcleo, una vulnerabilidad en él afecta a todos los contenedores del anfitrión. Para ejecutar código no confiable, la virtualización sigue siendo la frontera más sólida.