目录
一 cgroup 介绍
1，cgroup 是什么
cgroups，是一个非常强大的linux内核工具，他不仅可以限制被 namespace 隔离起来的资源， 还可以为资源设置权重、计算使用量、操控进程启停等等。 所以 cgroups（Control groups）实现了对资源的配额和度量。
2，cgroups有四大功能
●资源限制：可以对任务使用的资源总额进行限制
●优先级分配：通过分配的cpu时间片数量以及磁盘IO带宽大小，实际上相当于控制了任务运行优先级
●资源统计：可以统计系统的资源使用量，如cpu时长，内存用量等
●任务控制：cgroup可以对任务执行挂起、恢复等操作
二 cgroups对 CPU 的控制
1，cpu 的工作原理
关键词 周期（--cpu-period） 占比时间（--cpu-quota）
周期：你可以理解为一个周期 cpu 在以肉眼看不见的速度 轮流处理4个容器，一个周期就是 处理完4个容器 的一轮
占比时间： 你可以理解为 在一个周期里 对容器3 的优先级高 优先处理容器3
2，设置CPU使用率上限
2.1 cgroups对 CPU 的控制 原理
Linux通过CFS（Completely Fair Scheduler，完全公平调度器）来调度各个进程对CPU的使用。CFS默认的调度周期是100ms。
我们可以设置每个容器进程的调度周期，以及在这个周期内各个容器最多能使用多少 CPU 时间
/sys/fs/cgroup/cpu/docker/容器启动id/
2.2 --cpu-period
使用 --cpu-period 即可设置调度周期，cpu分配的周期(微秒，所以文件名中用 us 表示），默认为100000。不改
CFS 周期的有效范围是 1ms~1s，对应的 --cpu-period 的数值范围是 1000~1000000。 周期100毫秒
2.3 --cpu-quota
使用 --cpu-quota 即可设置在每个周期内容器能使用的CPU时间。两者可以配合使用。
表示该cgroups限制占用的时间（微秒），默认为-1，表示不限制。 如果设为50000，表示占用50000/100000=50%的CPU
而容器的 CPU 配额必须不小于 1ms，即 --cpu-quota 的值必须 >= 1000。
2.4 设置CPU使用率上限 演示
启动 test51的容器
去到 该目录下 (容器启动的id 号)
看到
#cpu.cfs_period_us：cpu分配的周期(微秒，所以文件名中用 us 表示），默认为100000。
#cpu.cfs_quota_us：表示该cgroups限制占用的时间（微秒），默认为-1，表示不限制。 如果设为50000，表示占用50000/100000=50%的CPU。
设置50%的比例分配CPU使用时间上限
去到 test51 写测试占用cpu 的脚本
加执行权限 执行脚本
top 查看宿主机 可以看到 容器test51 只会占用 50% 的cpu
2.5 创建容器时 限制cpu
docker run -itd --name test6 --cpu-quota 50000 centos:7 /bin/bash #可以重新创建一个容器并设置限额
3, 设置CPU资源占用比（设置多个容器时才有效）
3.1 设置CPU资源占用比原理
Docker 通过 --cpu-shares 指定 CPU 份额，默认值为1024，值为1024的倍数。
#创建两个容器为 c1 和 c2，若只有这两个容器，设置容器的权重，使得c1和c2的CPU资源占比为1/3和2/3。
3.2 语法
1:2 的权重
docker run -itd --name c1 --cpu-shares 512 centos:7
docker run -itd --name c2 --cpu-shares 1024 centos:7
docker stats 查看容器运行状态（动态更新）3.3 演示
先启动 test52 test53 容器
分别进入容器，进行压力测试
yum install -y epel-release
yum install stress -y
stress -c 4 #产生四个进程，每个进程都反复不停的计算随机数的平方根
查看容器运行状态（动态更新）
docker stats 可以看到是2:1
4, 设置容器绑定指定的CPU
4,1 cpu 核数原理
cpu 是0 开始 例如如果有4核 编号分别是 0 1 2 3
4.2 语法
docker run -itd --name test7 --cpuset-cpus 1,3 centos:7 /bin/bash
--cpuset-cpus 1,3 容器test7 绑定cpu 1和34.3 演示
开启容器test54 绑定cpu0
进行压测
#进入容器，进行压力测试
yum install -y epel-release
yum install stress -y
stress -c 4
docker stats 查看状态 可以看到容器 test54 只绑定在第一个cpu 上
三 cgroups对内存使用的限制
1，限制容器可以使用的最大内存
docker run -itd --name test8 -m 512m centos:7 /bin/bash
限制容器 test8 内存使用512M演示：
2， 限制可用的 swap 大小
2,1 限制 swap 规则
强调一下，--memory-swap（swap 内存） 是必须要与 --memory (真实物理内存)一起使用的。
正常情况下，--memory-swap 的值包含容器可用内存和可用 swap。
所以 -m 300m --memory-swap=1g 的含义为：容器可以使用 300M 的物理内存，并且可以使用 700M（1G - 300）的 swap。
如果 --memory-swap 设置为 0 或者 不设置，则容器可以使用的 swap 大小为 -m 值的两倍。
如果 --memory-swap 的值和 -m 值相同，则容器不能使用 swap。
如果 --memory-swap 值为 -1，它表示容器程序使用的内存受限，而可以使用的 swap 空间使用不受限制（宿主机有多少 swap 容器就可以使用多少）。
2.2 限制 swap 演示
docker run -itd -m 200m --memory-swap=1g nginx:latest --vm 1 --vm-bytes 100M
--vm 1 启动一个内存工作线程
--vm-bytes 每个线程分配100m四 对磁盘IO配额控制（blkio）的限制
1，命令集合
限制容器的 读写速度
--device-read-bps：限制某个设备上的读速度bps（数据量），单位可以是kb、mb(M)或者gb。
例：docker run -itd --name test9 --device-read-bps /dev/sda:1M centos:7 /bin/bash
--device-write-bps ： 限制某个设备上的写速度bps（数据量），单位可以是kb、mb(M)或者gb。
例：docker run -itd --name test10 --device-write-bps /dev/sda:1mb centos:7 /bin/bash
限制容器的读写速度
--device-read-iops ：限制读某个设备的iops（次数）
--device-write-iops ：限制写入某个设备的iops（次数）
2， 演示 限制写速度
限制写速度 1M 一秒
进入该容器 写入数据 测试速度
#通过dd来验证写速度
dd if=/dev/zero of=test.out bs=1M count=10 oflag=direct
#添加oflag参数以规避掉文件系统cache （规避放到缓存）
演示失败 因为docker版本不符合
3， 清理docker占用的磁盘空间
docker system prune -a
#可以用于清理磁盘，删除关闭的容器、无用的数据卷和网络
五 docker 版本
目前 yum 安装的 版本 是 26.1.0
企业常用版本： 20.10.17
六 生产故障
1， 故障
由于docker容器故障导致大量日志集满，会造成磁盘空间满
2，解决办法
先dh -Th 看总大小
再 du -sh 看每个日志的大小
运行脚本删除不必要的日志
3， 脚本
#!/bin/bash
logs=$ (find /var/lib/docker/containers/ -name *-json.log*)
for log in $logs
do
cat /dev/null > $log
done
当日志占满之后如何处理
###设置docker日志文件数量及每个日志大小
vim /etc/docker/daemon.json
{
"registry-mirrors": ["http://f613ce8f.m.daocloud.io"]，
"log-driver": "json-file", #我的一日志格式
"log-opts": { "max-size" : "500m", "max-file" : "3"} 日志的参数最大500M 我最大容器中有三个日志文件 每个日志文件大小是500M
}修改完需要重新加载 systemctl daemon-reload
4， 演示
先进到docker 放日志文件的地方 /var/lib/docker /containers
du -sh * 查看所有日志文件的大小 目前正常
非正常 启动容器 模拟故障
du -sh * 可以看到有一个 日志非常大
写脚本 加权限 并运行
再次du -sh * 正常了
5， 脚本具体解释
这是一个使用 Bash shell 编写的脚本，其功能是清空指定路径下所有 Docker 容器日志文件。下面是该脚本的详细解释：
```bash
#!/bin/bash
```
这行是“shebang”语句，指定了该脚本应使用 `/bin/bash` 解释器来执行。
```bash
logs=$(find /var/lib/docker/containers/ -name *-json.log*)
```
这行代码利用 `find` 命令查找位于 `/var/lib/docker/containers/` 目录及其子目录下的所有以 `-json.log` 结尾的文件，并将这些文件的完整路径保存到名为 `logs` 的变量中。`$(...)` 表示命令替换，即执行括号内的命令并将输出结果作为字符串赋值给变量。
```bash
for log in $logs
do
```
这里使用 `for` 循环遍历之前存储在变量 `logs` 中的所有日志文件路径。每次循环迭代时，当前日志文件的路径会被赋值给变量 `log`。
```bash
cat /dev/null > $log
```
在循环体内部，使用 `cat` 命令结合特殊文件 `/dev/null`（空设备文件，读取它返回空，写入它则丢弃所有数据）和重定向操作符 `>` 来清空指定的日志文件。具体来说，`cat /dev/null > $log` 的作用是将 `/dev/null` 的内容（即空）重定向到变量 `$log` 指定的日志文件中，从而达到清空该日志文件的目的。
```bash
done
```
这行标志着 `for` 循环的结束。
综上所述，这个 Bash 脚本的主要目的是查找 `/var/lib/docker/containers/` 目录下所有 Docker 容器生成的 JSON 格式的日志文件，并逐个清空它们的内容。
七 总结
Cgroup（Control Groups）是一个Linux内核的特性，通过内核来限制记录和隔离进程组的系统资源使用（CPU/内存/磁盘I/O等）
1 对CPU限制
CPU-period（CPU周期）：指的是CPU在给与当前管理控制容器的分配资源时，CPU分配周期，默认为1s，此配置可以在运行时直接指定
CPU-quota（CPU配额）：直接限制了Cgroup可以使用CPU的时间，如果设置了Cgroup的CPU配额1000000us（微秒）那么在每个100ms（毫秒）内的时间窗口，Cgroup最多使只能使用1000000us（微秒）的CPU
CPUset-CPU：指定容器仅能使用指定的CPU，按照CPU的下标来表示
2 对内存限制
内存使用上限（硬限制）
内存+swap使用上限（硬限制）比如，swap 1G 必须需要设置物理内存，举例200M 1G-200M=800M的swap
3 对磁盘I/O限制
--device-read-bps：限制某个设备上的读速度bps（数据量），单位可以是kb、mb(M)或者gb。
--device-write-bps ： 限制某个设备上的写速度bps（数据量），单位可以是kb、mb(M)或者gb。
--device-read-iops ：限制读某个设备的iops（次数）
--device-write-iops ：限制写入某个设备的iops（次数）
