ubuntu中docker資源如何限制

Ubuntu中Docker資源限制的常用方法

在Ubuntu系統中，可以通過多種方式為Docker容器設置資源限制（包括CPU、內存、磁盤I/O、網絡帶寬等），以防止容器過度消耗系統資源，保障宿主機及其他容器的穩定運行。以下是具體實現方式：

一、CPU資源限制

CPU限制主要通過核心數分配、權重設置、時間配額及核心綁定等方式實現，適用于控制容器的CPU使用優先級和上限。

1. 限制CPU核心數（–cpus）

使用--cpus參數直接指定容器可使用的最大CPU核心數（支持小數，如0.5表示半核）。例如，限制容器最多使用2個CPU核心：
docker run --cpus=2 ubuntu:latest
該參數直觀易用，適用于需要明確核心數的場景。

2. 設置CPU權重（–cpu-shares）

通過--cpu-shares參數設置容器的CPU相對權重（默認值為1024）。權重越高，容器在CPU資源緊張時獲得的份額越多。例如，設置權重為512（約為默認的一半）：
docker run --cpu-shares=512 ubuntu:latest
注意：該參數僅在CPU資源不足時生效，若宿主機有足夠CPU資源，所有容器均可獲得足額分配。

3. 精確控制CPU時間（–cpu-period/–cpu-quota）

通過--cpu-period（調度周期，單位：微秒，默認100000μs=100ms）和--cpu-quota（周期內CPU配額，單位：微秒）組合，精確控制容器的CPU使用比例。例如，限制容器CPU使用不超過50%（每100ms最多使用50ms）：
docker run --cpu-period=100000 --cpu-quota=50000 ubuntu:latest
該方式適用于需要精細化調整的場景。

4. 綁定特定CPU核心（–cpuset-cpus）

使用--cpuset-cpus參數將容器綁定到指定的CPU核心（如0,1表示核心0和1，0-3表示核心0至3）。例如，限制容器僅使用核心0：
docker run --cpuset-cpus=0 ubuntu:latest
該參數適用于需要隔離CPU資源的場景（如NUMA架構），減少核心間的競爭。

二、內存資源限制

內存限制通過硬上限、軟預留及交換空間等參數設置，防止容器占用過多內存導致系統OOM（Out of Memory）。

1. 設置內存硬上限（–memory/-m）

使用-m或--memory參數指定容器可使用的最大內存（支持M/G等單位）。例如，限制容器最多使用512MB內存：
docker run -m 512m ubuntu:latest
若容器內存使用超過該值，Docker會觸發OOM Killer終止容器（除非配置了交換空間）。

2. 設置內存+交換空間上限（–memory-swap）

--memory-swap參數設置“內存+交換空間”的總上限（格式：內存+交換空間，如1g表示1GB內存+1GB交換空間）。例如，限制內存512MB、交換空間512MB（總計1GB）：
docker run -m 512m --memory-swap=1g ubuntu:latest
注意：若--memory-swap設置為-1，則表示交換空間無限制（默認值）。

3. 設置內存預留（–memory-reservation）

--memory-reservation參數設置內存軟預留（默認值為--memory的50%），作為內存不足時的預警閾值。例如，設置內存上限500MB、預留200MB：
docker run -m 500m --memory-reservation=200m ubuntu:latest
該參數不會限制最大內存使用，但會在內存爭用時觸發Docker回收機制，嘗試將容器內存縮減至預留值。

4. 限制內核內存（–kernel-memory）

內核內存（如slab、sockets等）無法交換到磁盤，過度使用可能導致系統服務阻塞。使用--kernel-memory參數限制內核內存使用（如50MB）：
docker run -m 500m --kernel-memory=50m ubuntu:latest
該參數需配合-m使用，且不能超過-m的值。

三、磁盤I/O資源限制

通過blkio子系統限制容器的磁盤讀寫速度，防止某個容器獨占磁盤資源。

1. 限制讀/寫速度（–device-read-bps/–device-write-bps）

使用--device-read-bps（讀取速度，單位：字節/秒）和--device-write-bps（寫入速度，單位：字節/秒）參數，限制容器對指定設備的讀寫速率。例如，限制對/dev/sda的寫入速度為1MB/s：
docker run --device-write-bps=/dev/sda:1mb ubuntu:latest
該參數適用于需要控制磁盤IO的場景（如數據庫、日志服務等）。

2. 限制讀/寫IOPS（–device-read-iops/–device-write-iops）

使用--device-read-iops（讀取IOPS）和--device-write-iops（寫入IOPS）參數，限制容器對指定設備的IO操作次數（每秒）。例如，限制對/dev/sda的讀取IOPS為1000：
docker run --device-read-iops=/dev/sda:1000 ubuntu:latest
該參數適用于SSD等高速設備，更精準地控制IO負載。

四、網絡帶寬資源限制

Docker本身不直接支持網絡帶寬限制，但可通過tc（Traffic Control）命令結合cgroups實現。

1. 使用tc命令限制帶寬

以限制容器<container_id>的網絡帶寬為例（如10Mbps）：

# 進入容器的網絡命名空間
nsenter -t <container_pid> -n

# 添加流量控制規則（出方向，限制為10Mbps）
tc qdisc add dev eth0 root tbf rate 10mbit latency 50ms burst 1540

注意：該方法需要手動操作，適用于需要精細化控制的場景。

五、持久化設置（修改daemon.json）

若需要為所有容器設置默認資源限制，可修改Docker守護進程的配置文件/etc/docker/daemon.json（需重啟Docker服務生效）。例如，設置默認內存限制為512MB、CPU核心數為1：

{
  "default-ulimits": {
    "nofile": {
      "Name": "nofile",
      "Hard": 65536,
      "Soft": 65536
    }
  },
  "exec-opts": ["native.cgroupdriver=systemd"]
}

修改后執行sudo systemctl restart docker使配置生效。

六、動態修改已運行容器的資源限制

使用docker update命令可動態調整已運行容器的資源限制（無需重啟容器）。例如，將容器<container_name>的內存限制調整為1GB、CPU權重調整為2048：
docker update -m 1g --cpu-shares=2048 <container_name>
該命令適用于需要臨時調整資源需求的場景。

以上方法覆蓋了Docker容器資源限制的主要場景，可根據實際需求選擇合適的方式組合使用。例如，同時限制CPU核心數、內存上限及磁盤IO速度，以實現全面的資源管控。