Docker 容器资源限制：CPU / 内存 / IO 配额设置

在 Docker 环境中，设置资源限制是确保容器高效运行、避免单个容器过度占用资源的关键。这有助于提高系统稳定性、防止资源枯竭。以下我将逐步解释如何为 CPU、内存和 I/O 设置配额，并提供实际配置示例。所有设置基于 Docker 命令行工具或 docker-compose.yml 文件实现。

1. CPU 资源限制

CPU 配额控制容器可以使用的 CPU 资源量，防止单个容器垄断 CPU。Docker 提供两种主要方式：

• --cpus 参数：直接指定容器可使用的 CPU 核心数上限。例如，限制容器最多使用 1.5 个 CPU 核心。
• --cpu-shares 参数：设置相对权重（默认为 1024），用于在多个容器竞争 CPU 时分配资源。权重越高，优先级越高。

示例命令（docker run）：

docker run -d --name my_container --cpus=1.5 --cpu-shares=512 my_image

• --cpus=1.5：限制容器最多使用 1.5 个 CPU 核心。
• --cpu-shares=512：设置权重为 512（低于默认 1024，表示较低优先级）。

在 docker-compose.yml 中的配置：

version: '3'
services:
  my_service:
    image: my_image
    deploy:
      resources:
        limits:
          cpus: '1.5'
          cpu_shares: 512

2. 内存资源限制

内存配额防止容器耗尽主机内存，避免 OOM（Out Of Memory）错误。关键参数包括：

• --memory：设置容器可用的最大物理内存（例如，512MB 或 2GB）。
• --memory-swap：控制总内存加交换空间（swap）。如果未指定，默认为 --memory 的两倍；设置为 -1 表示无限制（不推荐）。

示例命令（docker run）：

docker run -d --name my_container --memory=512m --memory-swap=1g my_image

• --memory=512m：限制物理内存为 512MB。
• --memory-swap=1g：总内存（包括 swap）上限为 1GB。

在 docker-compose.yml 中的配置：

version: '3'
services:
  my_service:
    image: my_image
    deploy:
      resources:
        limits:
          memory: 512M
          memory_swap: 1G

3. I/O 资源限制

I/O 配额控制容器的磁盘读写速度，防止高 I/O 操作影响其他容器。主要使用 blkio 参数：

• --device-read-bps 和 --device-write-bps：限制每秒读写字节数（bps）。
• --device-read-iops 和 --device-write-iops：限制每秒 I/O 操作次数（iops）。

示例命令（docker run）：

docker run -d --name my_container --device-read-bps=/dev/sda:1mb --device-write-iops=/dev/sda:100 my_image

• --device-read-bps=/dev/sda:1mb：限制从 /dev/sda 设备读取速度不超过 1MB/s。
• --device-write-iops=/dev/sda:100：限制写入 I/O 操作不超过每秒 100 次。

在 docker-compose.yml 中的配置：

version: '3'
services:
  my_service:
    image: my_image
    deploy:
      resources:
        limits:
          blkio_config:
            device_read_bps:
              - path: /dev/sda
                rate: 1mb
            device_write_iops:
              - path: /dev/sda
                rate: 100

最佳实践总结

• 监控与调整：使用 docker stats 命令实时监控资源使用（如 docker stats my_container），并根据负载调整配额。
• 避免过度限制：设置过紧可能导致容器性能下降；建议从保守值开始，逐步优化。
• 结合 cgroups：Docker 底层使用 Linux cgroups 实现资源隔离，确保主机系统支持。
• 测试环境验证：在生产部署前，在测试环境中验证配额设置是否合理。

通过以上设置，您可以有效防止单个容器过度消耗资源，提升整体集群的可靠性和效率。如果有具体场景（如高并发应用），我可以进一步细化建议！