Твои контейнеры буду недоступны соседнему юзеру, они только твои
В докере один общий контейнерный пул, так что в теории сосед вася может "по-приколу" выключать тебе контейнеры, если ты дашь ему доступ к своей машине в отдельного пользователя
На практике это означает, что в случае обхода вредоносным скриптом изоляции контейнера (например, ты не осторожно прокинул вольюм), пострадает только твой пользователь и твои данные, но не система, в случае докера скрипт будет работать почти что с правами рута

cgroups2позволяет более гибко управлять ресурсами при работе с контейнерами. Это уже доступно в подмане, но вряд ли когда-то заработает в докере, хотя они пытались что-то там

У подмана есть интсрумент для генерации сервис-файла системди, чтобы управлять контейнером как сервисом, у докера есть только опции с рестартом

У подмана есть зачатки интрументов оркестрации в виде подов — групп контейнеров, которыми можно управлять независимо друго от друга, настраивать видимость и т.д., в общем группировать
У докера только…