小白手套的 Docker 奇幻旅行之探秘 cgroups
喜迎周四
让我们在一个舒缓的 BGM 中开始今日话题 docker cgroups
前情提要
上章，小白手套已经理解 Docker 核心之一 Namespace，新的问题又出现了，小白手套心想：如果 Linux 中运行容器，我怎么可以让这个容器只使用指定给自己的资源呢，比如 我的宿主机有 16G 内存，我只要当前这个容器使用 2G，应该怎么办？
主角介绍
- 小李-某司技术一把手，年纪轻轻，财务自由，开小米 SU7
- 小白手套-某司技术 家财万贯，只为体验生活，上级小李，开法拉利
cgroups
参考 wikipedia 对 cgroups 的介绍
cgroups 最初由 Paul Menage 和 Rohit Seth 编写，并于 2007 年合并到主线 Linux 内核中。后来称为 cgroups 版本 1。
cgroups （控制组的缩写）是一个Linux 内核功能，它限制、说明和隔离一组进程的资源使用（CPU、内存、磁盘 I/O 等） 。
Google的工程师于 2006 年开始以"进程容器"的名义开发此功能。2007年底，术语更改为"控制组"，以避免Linux内核上下文中术语"容器"的多重含义造成的混淆，并且控制组功能在内核版本 2.6 中被合并到Linux内核主线中 于 2008 年 1 月发布。
此后，开发人员添加了许多新功能和控制器，例如2014 年对kernfs的支持、防火墙、和统一层次结构。cgroup v2 已合并到 Linux 内核 4.5 中，对界面和内部功能进行了重大更改。
用大白话来讲：cgroups 的作用就类似一个工头，就好比盖房子，如果你要建三个卧室，要建多大的平方，由工头来监督，保证不会因为某间卧室而占用其他卧室的面积。换句话讲，Cgroups 保证容器内的应用程序不耗尽系统的资源，保证容器之间有序、平衡的共享系统资源。
cgroups 特点
-
资源限制
- 组可以设置为不超过配置的内存限制，其中还包括文件系统缓存、I/O 带宽限制、CPU 配额限制、CPU 设置限制、最大打开文件数。
-
优先顺序
- 某些组可能会获得更大份额的 CPU 利用率或磁盘 I/O 吞吐量
-
会计
- 测量组的资源使用情况，例如可用于计费目的
-
控制
- 冻结进程组、它们的检查点和重新启动
cgroups 核心
子系统是 cgroups 实现资源限制的基础，一个子系统代表一类资源调度控制器。
可以使用
mount -t cgroup查看当前 Linux 有哪些子系统
cgroups 实战
Cpu 限制
首先，在 cpu 子系统下创建 cgroup ，然后限制在这个 cgroups 下的进程只能使用 0.1 核CPU
将核数写入
cpu.cfs_quota_us就可以 1 核是（100000）
然后创建一个新的进程，一个死循环,加入到 cgroup 中，验证是否最高只能到 0.1 核
接下来查看 TOP ,可以看到死循环下 CPU 最高只能到 10%
Memtester 工具介绍
CPU 我们可以通过 死循环，那么在实现内存限制，需要用到 Memtester 工具
memtester是一个用于测试计算机系统中内存稳定性和可靠性的工具。它的主要作用是模拟内存负载，检查计算机在高内存使用情况下是否会出现问题，如内存泄漏或硬件故障。
Memory 限制
首先，在 memory 子系统下创建 cgroup，然后限制在这个 cgroups 下的进程只能使用 50M，单位是字节
然后创建一个新的进程，加入到 cgroup 中，验证是否最高可以到 50M，可以看到申请 55M 内存，结果不通过
如果申请 40M 呢？当然，可以看到是成功的。
结语
Docker 实现隔离与限制就是依赖 Namespace 和 cgroups 实现的，是不是非常简单。SO，你可以用 Bash 实现一个 Docker 吗？试试吧，反正又不花钱。
祝你好运
参考文献：