容器宿主机绑核（CPU Affinity / CPU Set），是将容器进程固定在宿主机特定CPU核心上运行、禁止内核跨核调度的资源隔离与性能优化技术，底层依赖Linux cpuset cgroup实现。

一、核心概念

• 绑核（CPU Affinity）：把容器进程绑定到宿主机指定CPU核心（如0、2-4），进程只能在这些核心上执行。
• 宿主机视角：容器是宿主机上的一组进程，绑核通过cgroup限制该进程组可用CPU集合。
• 与CPU配额区别：
  • CPU配额（–cpus）：限制容器可用CPU时间比例（如0.5核、2核），可在任意核心调度。
  • CPU绑核（–cpuset-cpus）：限定容器只能在指定物理核心上运行，不限制时间比例。

二、底层原理

1. Linux cgroup cpuset子系统：内核提供的资源控制机制，通过/sys/fs/cgroup/cpuset/文件系统管理进程的CPU与内存亲和性。
2. 容器引擎实现：
   • Docker：--cpuset-cpus参数直接配置容器cgroup的cpuset.cpus。
   • Kubernetes：通过kubelet的CPU Manager（static策略）为Guaranteed QoS Pod分配独占CPU，写入cpuset.cpus。
3. 调度约束：内核调度器仅在cpuset.cpus指定的核心中选择，避免跨核迁移。

三、主要价值（为什么要绑核）

• 降低上下文切换开销：进程固定在核心，减少调度切换，提升CPU利用率。
• 提升缓存命中率：数据常驻对应核心L1/L2缓存，避免缓存失效。
• NUMA架构优化：绑定同NUMA节点CPU与内存，避免跨节点远程访问延迟。
• 资源隔离与 predictable latency：关键服务独占核心，避免“吵闹邻居”干扰。
• 性能基准测试：消除CPU调度变量，保证测试结果稳定可复现。

四、Docker 绑核实操

# 绑定容器到CPU 0、1核心
docker run -d --name my-app --cpuset-cpus 0,1 nginx

# 绑定连续核心（2-4）
docker run -d --name my-app --cpuset-cpus 2-4 nginx

# 验证绑核（进入容器查看）
cat /sys/fs/cgroup/cpuset/cpuset.cpus
# 输出：0,1 或 2-4

五、Kubernetes 绑核（CPU Manager）

1. 启用静态策略（节点级）：

   # 启动kubelet时添加参数
   kubelet --cpu-manager-policy=static --cpu-manager-reconcile-period=5s
   

2. Pod配置（Guaranteed QoS）：

   apiVersion: v1
   kind: Pod
   metadata:
     name: cpu-static-pod
   spec:
     containers:
     - name: app
       image: nginx
       resources:
         limits:
           cpu: "2"    # 整数，Guaranteed
           memory: "2Gi"
         requests:
           cpu: "2"
           memory: "2Gi"
   

3. 效果：Pod容器获得2个独占CPU核心，内核不调度其他进程到这些核心。

六、适用场景与注意事项

适用场景

• 低延迟、高吞吐服务（API网关、数据库、消息队列）。
• 实时计算、性能敏感型应用。
• NUMA架构服务器的性能优化。
• 性能压测与基准测试。

注意事项

• 核心浪费：绑核后核心被独占，即使容器空闲也无法被其他进程使用。
• SMT/超线程：默认可分配虚拟核心，可能导致物理核心共享；开启full-pcpus-only可强制分配完整物理核心。
• 调度灵活性下降：绑核容器无法在节点内自由调度，可能影响集群资源利用率。
• QoS限制：K8s static策略仅支持Guaranteed类型Pod。

七、绑核 vs 其他CPU管控