1.cgroups简介

cgroups，是一个非常强大的linux内核工具，他不仅可以限制被namespace 隔离起来的资源，还可以为资源设置权重、计算使用量、操控进程启停等等。所以cgroups (Control groups) 实现了对资源的配额和度量。

cgroups有四大功能：

资源限制：可以对任务使用的资源总额进行限制。
优先级分配：通过分配的cpu时间片数量以及磁盘IO带宽大小，实际上相当于控制了任务运行优先级。
资源统计：可以统计系统的资源使用量，如cpu时长，内存用量等。
任务控制： cgroup可以对任务执行挂起、恢复等操作。

2、cpu时间片的概念

时间片即CPU分配给各个程序的时间，每个线程被分配一个时间段，称作它的时间片，即该进程允许运行的时间，使各个程序从表面上看是同时进行的。如果在时间片结束时进程还在运行，则CPU将被剥夺并分配给另一个进程。如果进程在时间片结束前阻塞或结束，则CPU当即进行切换。而不会造成CPU资源浪费。

在宏观上：我们可以同时打开多个应用程序，每个程序并行不悖，同时运行。但在微观上：由于只有一个CPU，一次只能处理程序要求的一部分，如何处理公平，一种方法就是引入时间片，每个程序轮流执行。

3、对CPU使用的限制

3.1 设置CPU使用率上限

Linux通过CFS （Completely Fair Scheduler，完全公平调度器）来调度各个进程对CPU的使用。CFS默认的调度周期是100ms。

我们可以设置每个容器进程的调度周期，以及在这个周期内各个容器最多能使用多少CPU时间。

使用 --cpu-period 即可设置调度周期，使用 --cpu-quota 即可设置在每个周期内容器能使用的CPU时间。两者可以配合使用。

CFS周期的有效范围是1ms ~ 1s，对应的 --cpu-period 的数值范围是 1000 ~1000000 （单位微秒）。

而容器的CPU配额必须不小于1ms，即 --cpu-quota 的值必须 >= 1000。

先进入到容器的目录当中查看他们的cpu设置
cd /sys/fs/cgroup/cpu/docker/容器的id

2.我们进入到c1容器当中，安装压力测试工具来检测我们的cpu使用率

docker exec -it c1 bash

yum install -y epel-release

yum install -y stress

stress -c 4
#同时开启4个进程来做压力测试

3.现在我们可以直接修改这个容器的cpu使用率来限制cpu的使用

4.再进入c1容器进行压力测试来查看我们cpu是否被限制了

3.2对新建立的容器直接限制cpu

1.设置单个容器进程能够使用的CPU使用率上限

docker run --cpu-period 单个CPU调度周期时间(1000~1000000) --cpu-quota 容器进程能够使用的最大CPU时间(>=1000)

docker run -id --name c2 --cpu-period 1000000 --cpu-quota 300000 centos:7 bash

2.对我们c2进行压力测试，查看cpu使用率

3.3 设置cpu资源占用比（设置多个容器时才有效）

Docker 通过 --cpu-shares 指定 CPU 份额，默认值为1024，值为1024的倍数。

1.创建两个容器为 c1 和 c2，若只有这两个容器，设置容器的权重，使得c1和c2的CPU资源占比为1/3和2/3。

docker run -itd --name c1 --cpu-shares 512 centos:7	
docker run -itd --name c2 --cpu-shares 1024 centos:7

2.进行压力测试，查看容器状态

docker stats

Cgroups 只在容器分配的资源紧缺时，即在需要对容器使用的资源进行限制时，才会生效。因此，无法单纯根据某个容器的 CPU 份额来确定有多少 CPU 资源分配给它，资源分配结果取决于同时运行的其他容器的 CPU 分配和容器中进程运行情况。

3.4 设置容器绑定指定的cpu

1.创建一个容器进行测试

格式：
docker run --cpuset-cpus CPUID1[,CPUID2...]

docker run -id --cpuset-cpus 1 --name c4 --cpu-period 100000 --cpu-quota 50000 -v /opt:/opt centos:7 bash

docker exec -it c4 bash

stress -c 1

去另外一个端口查看cpu使用状态

4.对内存使用的限制

docker run -id --name c5 -m 512m centos:7
#-m可以对容器的内存进行限制

使用docker stats进行查看

限制可用的 swap 大小， --memory-swap
强调一下，--memory-swap 是必须要与 --memory 一起使用的。

正常情况下，--memory-swap 的值包含容器可用内存和可用 swap。
所以 -m 300m --memory-swap=1g 的含义为：容器可以使用 300M 的物理内存，并且可以使用 700M（1G - 300）的 swap。

如果 --memory-swap 设置为 0 或者 不设置，则容器可以使用的 swap 大小为 -m 值的两倍。
如果 --memory-swap 的值和 -m 值相同，则容器不能使用 swap。
如果 --memory-swap 值为 -1，它表示容器程序使用的内存受限，而可以使用的 swap 空间使用不受限制（宿主机有多少 swap 容器就可以使用多少）。

5.对磁盘IO配额控制（blkio）的限制

--device-read-bps：限制某个设备上的读速度bps（数据量），单位可以是kb、mb(M)或者gb。例：docker run -itd --name test9 --device-read-bps /dev/sda:1M centos:7 /bin/bash

--device-write-bps ：限制某个设备上的写速度bps（数据量），单位可以是kb、mb(M)或者gb。例：docker run -itd --name test10 --device-write-bps /dev/sda:1mb centos:7 /bin/bash

--device-read-iops ：限制读某个设备的iops（次数）

--device-write-iops ：限制写入某个设备的iops（次数）

下面我们来模拟一下实验：

1.先创建一个容器来先不限制他的读写性能，看看读写的速度

docker run -id --name c6 centos:7 bash

docker exec -it c6

dd if=/dev/zero of=/opt/test1.txt bs=1M count=10 oflag=direct

2.我们再创建一个容器限制他的读写性能

docker run -id --name c7 --device-write-bps /dev/sda:1M centos:7 bash

3.进入这个容器查看读写速度

docker exec -it c7 bash

dd if=/dev/zero of=/opt/123.txt bs=1M count=10 oflag=direct

6.清理docker占用的磁盘空间

可以用于清理磁盘，删除关闭的容器、无用的数据卷和网络

docker system prune -a

Docker Cgroups资源控制管理