Come fanno i Cgroups (Controllo Gruppi) e le Namespaces di Linux a creare isolamento all'interno di un contenitore Docker? Cosa succede a un processo Python quando supera resource.limits.cpu in Kubernetes, e perché superare limits.memory porta a OOMKilled, mentre superare CPU causa solo throttling?