windows容器支持进程隔离和hyper-v隔离两种模式：前者共享宿主机内核、性能高但隔离弱；后者为每个容器分配独立轻量级hyper-v虚拟机，实现内核级硬件隔离，提升安全性与兼容性。
hyper-v 虚拟化与 windows 容器不是互斥关系，而是分层协作关系：windows 容器可运行在两种隔离模式下——进程隔离（默认、轻量）和hyper-v 隔离（强安全边界）。后者正是 hyper-v 与容器深度集成的核心方式。
Hyper-V 隔离模式的工作原理
该模式下，每个 Windows 容器并非直接共享宿主机内核，而是运行在一个极简、专用的 Hyper-V 虚拟机中。这个 VM 称为“容器操作系统镜像”（Container OS Image），仅加载运行容器所需的最小内核和服务，启动快、内存占用低（通常 100–200MB）。
- 容器进程实际运行在独立的虚拟机内，与宿主机及其他容器完全内核级隔离
- 宿主机上的 Hyper-V 管理程序负责调度该轻量 VM，提供硬件级安全边界
- 无需手动创建或管理 VM —— Docker 或 containerd 自动调用 Hyper-V API 启停底层虚拟机
启用 Hyper-V 隔离的前提条件
必须同时满足以下三项，Windows 容器才能使用 Hyper-V 隔离：
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- CPU 支持并启用虚拟化扩展：Intel VT-x 或 AMD-V，且 BIOS/UEFI 中已开启
- 系统已启用 Hyper-V 功能：通过“启用或关闭 Windows 功能”勾选 Hyper-V，或执行 Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V -All
- Windows 版本匹配：仅 Windows 10 1809+、Windows Server 2019+ 及更新版本原生支持；旧版需升级
实际使用中的关键操作
运行容器时显式指定隔离类型即可触发 Hyper-V 集成：
- Docker CLI 示例：docker run --isolation=hyperv mcr.microsoft.com/windows/servercore:ltsc2022
- 在 Docker Desktop for Windows 中，可在设置里将默认隔离模式设为 Hypervisor
- Kubernetes 场景下，需配置 windows-containerd 运行时，并在 Pod spec 中设置 securityContext.windowsOptions.gmsaCredentialSpecName 等字段以启用高级隔离策略
与进程隔离的本质区别
进程隔离模式下，所有容器共享宿主机内核，依赖命名空间和句柄过滤实现隔离，性能更高但攻击面更大；Hyper-V 隔离则牺牲少量启动延迟和内存开销，换来真正的内核分离——适用于多租户环境、高敏感应用、混合不可信镜像等场景。两者可共存于同一集群，按需选择。
