---

前言

docker使用cgroup控制资源，K8S里面也有respones(request limit) (使用上线) CPU 内存两个部分进行管理

---

Cgroup

Docker通过Cgroup来控制容器使用的资源配额，包括 CPU、内存、磁盘三大方面，基本覆盖了常见的资源配额和使用量控制

Cgroup是Control Groups的缩写，是Linux内核提供的一种可以限制、记录、隔离进程组所使用的物理资源（如cpu、内存、磁盘、IO等等）的机制
Cgroup是一种资源控制手段，也是容器隔离的6个名称空间的一种实现手段，每个容器相当于一个进程

CPU使用率控制

cpu周期：1s为一个周期的定律，参数值一般为100000（CPU衡量单位是秒）
假如需要给此容器分配cpu使用率的20%，则参数需要设置未20000，相当于每个周期分配给这个容器0.2s
cpu在一个时刻，只能给一个进程占用

使用stress压力测试工具来测试cpu和内存的使用情况

FROM centos:7
RUN yum -y install wget
RUN wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
RUN yum -y install stress

======
docker build -t centos:stress .

使用命令创建容器，命令中的–cpu-shares 参数值不能保证可以获得一个vcpu或者多少GHz的cpu资源，它仅是一个弹性的加权值
docker run -itd --cpu-shares 100 centos:stress stress -c 10

进入容器查看cpu使用情况
docker exec -it 容器id bash
top

再开一个容器做比较
docker run -itd --name cpu1024 --cpu-shares 1024 centos:stress stress -c 10
进容器top查看

对比两个容器的%cpu，比例是1:2

docker stats 查看资源使用

CPU 周期限制

Docker提供了–cpu-period、–cpu-quota 两个参数控制容器可以分配到CPU时钟周期。
–cpu-period 是用来指定容器对CPU的使用要在多长时间内做一次重新分配。

cd /sys/fs/cgroup/cpu/docker/容器ID

宿主机怎么提供资源，怎么控制docker容器中的应用的

CPU–》VCPU–》以进程的方式体系在workstation环境（docker环境中）–》docker表现形式是容器–》Vcpu以进程的方式控制容器–》容器中的应用需要的是服务进程支持–》宿主机的内核中cpu可以被cgroup管理（通过分配资源手段）–》linux内核中的cgroup可以控制管理docker容器中的应用

–cpu-quota 是用来指定在这个周期内，最多可以有多少时间用来跑这个容器。
与 --cpu-shares不同的是，这种配置是指定一个绝对值，容器对cpu资源的使用绝不会超过配置的值

cpu-period和cpu-quota的单位为微秒。cpu-period的最小值为1000微秒，最大值为1秒，默认值为0.1秒
cpu-quota的值默认为-1，表示不做控制。cpu-period和cpu-quota参数一般会联合使用。

docker run -itd --cpu-period 100000 --cpu-quota 20000 centos:stress bash

docker exec -it 容器id bash

在指定容器目录中

CPU Core控制

对多核CPU的服务器，Docker还可以控制容器运行使用哪些CPU内核，即使用–cpuset-cpus参数。
这对其有多CPU的服务器尤其有用，可以对需要高性能计算的容器进行性能最优的配置。

docker run -itd --name cpu1 --cpuset-cpus 0-1 centos:stress

docker exec d3d51a1a9a97 taskset -c -p 1

top 按1查看每个核心的占用

内存配额

与操作系统相似，容器可使用的内存包括两部分：物理内存和Swap
Docker通过下面两组参数来控制容器内存的使用量

-m 或 --memory：设置内存的使用限额，例如 100M、1024M。
–memory-swap：设置 内存+swap 的使用限额。

执行如下命令允许该容器最多使用 200M 的内存和 300M 的 swap。

docker run -it -m 200M --memory-swap=300M progrium/stress --vm 1 --vm-bytes 280M
–vm 1：启动 1 个内存工作线程。
–vm-bytes 280M：每个线程分配 280M 内存。

默认情况下，容器可以使用主机上的所有空闲内存。
与 CPU 的 cgroups 配置类似， Docker 会自动为容器在目录 /sys/fs/cgroup/memory/docker/<容器的完整长 ID>
中创建相应 cgroup 配置文件
如果让工作线程分配的内存超过 300M，分配的内存超过限额，stress 线程报错，容器 退出。

Block IO 的限制

默认情况下，所有容器能平等地读写磁盘，可以通过设置–blkio-weight 参数来改变 容器 block IO 的优先级。
–blkio-weight 与 --cpu-shares 类似，设置的是相对权重值，默认为 500。
在下面 的例子中，容器 A 读写磁盘的带宽是容器 B 的两倍。

docker run -it --name container_A --blkio-weight 600 centos:stress
cat /sys/fs/cgroup/blkio/blkio.weight

docker run -it --name container_B --blkio-weight 300 centos:stress
cat /sys/fs/cgroup/blkio/blkio.weight

bps 和 iops的限制

概念：
bps 是 byte per second，每秒读写的数据量。
iops 是 io per second，每秒 IO 的次数。

可通过以下参数控制容器的 bps 和 iops：
–device-read-bps，限制读某个设备的 bps。
–device-write-bps，限制写某个设备的 bps。
–device-read-iops，限制读某个设备的 iops。
–device-write-iops，限制写某个设备的 iops。

下面的示例是限制容器写 /dev/sda 的速率为 5 MB/s。

docker run -it --device-write-bps /dev/sda:5MB centos:stress
docker ps -a

docker exec -it 容器ID /bin/bash
dd if=/dev/zero of=test bs=1M count=1024 oflag=direct //可以按ctrl+c中断查看

通过 dd 命令测试在容器中写磁盘的速度。因为容器的文件系统是在 host /dev/sda 上 的，
在容器中写文件相当于对 host /dev/sda 进行写操作。另外，oflag=direct 指定用 direct IO 方式写文件，
这样 --device-write-bps 才能生效。

构建镜像（docker build）时指定资源限制

选项	说明
–build-arg=[ ]	设置镜像创建时的变量
–cpu-shares	设置 cpu 使用权重
–cpu-period	限制 CPU CFS周期
–cpu-quota	限制 CPU CFS配额
–cpuset-cpus	指定使用的CPU id
–cpuset-mems	指定使用的内存 id
–disable-content-trust	忽略校验，默认开启
-f	指定要使用的Dockerfile路径
–force-rm	设置镜像过程中删除中间容器
–isolation	使用容器隔离技术
–label=[ ]	设置镜像使用的元数据
-m	设置内存最大值
–memory-swa	设置Swap的最大值为内存+swap，"-1"表示不限swap
–no-cache	创建镜像的过程不使用缓存
–pull	尝试去更新镜像的新版本
–quiet, -q	安静模式，成功后只输出镜像 ID
–rm	设置镜像成功后删除中间容器
–shm-size	设置/dev/shm的大小，默认值是64M
–ulimit	Ulimit配置
–squash	将 Dockerfile 中所有的操作压缩为一层
–tag, -t	镜像的名字及标签，通常 name:tag 或者 name 格式；可以在一次构建中为一个镜像设置多个标签。
–network	默认 default。在构建期间设置RUN指令的网络模式