啃Docker之Docker资源控制（Cgroup资源配置方法）

前言

默认情况下容器是没有资源限制的，因为它本身就是一个进程，当一个容器占用太多资源的话，会对其他容器产生影响，所以 ，合理应该分配容器资源是作为管理员必须要关注的问题。

一：Cgroup资源分配

1.1：为什么容器要做资源分配？

• 虚拟机在创建的时候就已经做了资源分配，（虚拟CPU，虚拟内存，虚拟磁盘等）

• 容器是共享内核资源的，所以需要用Cgroup资源分配，参照因素是往年的监控系统中服务的吞吐量，和资源数据，资源耗用情况来分配

1.2：Cgroup概述

• Docker通过Cgroup来控制容器使用的资源配额，包括CPU，内存，磁盘三大方面，基本覆盖了常见的资源配额和使用量的控制

• Cgroup是Control Groups的缩写，是Linux内核提供的一种限制，记录，隔离进程组所使用的物理资源（如CPU 内存 磁盘IO 等等）的机制，被LXC docker等很多项目用于实现进程资源控制。Cgroup本身是提供将进程进行分组化管理的功能和接口的基础结构，I/O或内存的分配控制等，这些具体的资源管理功能称为Cgroup子系统，有以下几个大子系统实现：

  • Blkio:设置限制每个存储块设备的管理（硬盘等）的输入输出控制，例如：磁盘 光盘以及usb等等
  • CPU:使用调度程序为cgroup任务提供CPU的访问
  • Cpuacct:产生cgroup任务提供CPU的访问
  • Cpuacct:产生cgroup任务的CPU资源报告
  • Cpuset:如果是多核心的CPU，这个子系统会为cgroup任务分配单独的CPU和内存
  • Devices:允许或拒绝cgroup任务对设备的访问
  • Freezer:暂停和恢复cgroup任务
  • Memory:设置每个cgroup的内存限制以及产生内存资源报告
  • Net_cls:标记每个网络包以供cgroup方便使用
  • Ns:命名空间子系统
  • Perf_event:增加了对每个group的监测跟踪的能力，可以监测属于某个特定的group的所有线程以及运行在特定CPU上的线程

1.2：使用stress压力测试工具来测试CPU和内存使用状况

1.2.1：stress工具介绍

stress 是Unix类系统下的工作量和压力测试工具。它将对用户指定的CPU数量的I/O，内存和硬盘的负载并报告它检测到任何错误。它用于自动压力测试和调试系统组件失败的唯一或更经常负荷时。它可以运行在x86，ppc64的，和PPC 32 GNU / Linux的，Tru64的，SPARC Solaris的，和其他平台

1.2.2：操作步骤

• 使用Dockerfile来创建一个基于centos的stress工具镜像

[root@localhost ~]# setenforce 0
[root@localhost ~]# iptables -F
[root@localhost ~]# systemctl start docker  '开启docker功能'
[root@localhost opt]# mkdir /opt/stress  '在/opt目录下创建一个stress目录'
[root@localhost stress]# cd /opt/stress/
[root@localhost stress]# vim Dockerfile   '创建stress的镜像'
FROM centos:7   '基于Centos:7的镜像'
MAINTAINER This is cai  '描述信息'
RUN yum -y install wget  '安装wget下载工具'
RUN wget -O /etc/yum.repos.d/epel.repo http://mirrors.aliyun.com/repo/epel-7.repo  '去阿里云官网配置yum源'
RUN yum -y install stress  ##安装stress
[root@localhost stress]# docker build -t centos:stress .   '创建镜像'

• 创建容器，–cpu-shares参数值不能保证可以获得1个vcpu或者多少GHz的CPU资源，它仅是一个弹性的加权值

[root@localhost stress]# docker run -itd --cpu-shares 100 centos:stress

• 说明：默认情况下，每个Docker容器的CPU份额都是1024，单独一个容器的份额是没有意义的。只有在同时运行多个容器时，容器的CPU加权的效果才能体现出来。

• 例如：如果两个容器A B的CPU分别为1000和500，在CPU进行时间片分配的时候，容器A比容器B多一倍机会获得CPU的时间片

• 但分配的结果取决于当时主机和其他容器的运行状态，实际上也无法保证容器A一定能获得CPU时间片。比如容器A的进程一直是空闲的，那么容器B是可以获取比容器A更多的CPU时间篇的。极端情况下，例如主机上只运行了一个容器，即使它的CPU份额只有50，它也可以独占整个主机的CPU资源

• Cgroups只在容器分配资源紧缺时，即在需要对容器使用的资源进行限制时，才会生效。因此无法单纯根据某个容器的CPU份额来确定有多少CPU资源分配，结果取决于同时运行的其他容器的CPU分配和容器中进程运行情况

• 可以通过cpu share 可以设置容器使用CPU的优先级，比如启动了两个容器及运行查看CPU使用百分比

• 运行容器 容器名字为cpu512 ；–cpu-shares 512权重是512；镜像为centos:stress； stress -c 10:分配10个子进程

[root@localhost stress]# docker run -itd --name cpu512 --cpu-shares 512 centos:stress stress -c 10 #容器产生10个子函数进程
[root@localhost stress]# doc