컨테이너 런타임을 만드는 개발자 Nick은 Docker를 가상 머신보다 제약을 적용한 호스트 프로세스로 설명했다. 네임스페이스는 보이는 자원을 나누고 cgroups는 사용량을 제한하며, 이미지에서 준비한 디렉터리가 실행 프로세스의 루트가 된다. runc는 Go 런타임이 스레드를 만들기 전 C 코드로 필요한 네임스페이스 초기화를 수행한다. 글의 root 권한 설명은 일반적인 기본 구성에 해당한다. Docker 공식 문서는 사용자 네임스페이스 안에서 데몬과 컨테이너를 모두 비특권으로 실행하는 rootless 모드도 제공한다.