Cgroup 基础设置

1. 安装libcgroup

执行下面命令安装libcgroup:

   

# yum install libcgroup

2. Cgroup配置文件挂载点目录

  配置文件: /etc/cgconfig.conf

  挂载点根目录: /cgroup

  缺省子系统名称及挂载点(通过配置文件可以查看):

        cpuset  = /cgroup/cpuset;

        cpu     = /cgroup/cpu;

        cpuacct = /cgroup/cpuacct;

        memory  = /cgroup/memory;

        devices = /cgroup/devices;

        freezer = /cgroup/freezer;

        net_cls = /cgroup/net_cls;

        blkio   = /cgroup/blkio;

 

3. 启动和停止cgroup服务

  # sudo service cgconfig start 启动

  # sudo service cgconfig stop 停止
 

4. 系统启动时自动启动cgroup服务

查看服务状态命令:chkconfig --list cgconfig

随系统自动启动命令: chkconfig cgconfig on

 

5. 显示已经挂载的子系统命令

lssubsys -am

6. 创建cgroup命令

cgcreate -t <uid:gid> -a <uid:gid> -g <subsystems:cgroup-path>

 

-t <uid:gid> 指定允许向 cgroup 分配任务的用户和组ID,这里的cgroup是参数cgroup-path所指向的层次的cgroup, 即所要创建的cgroup。

-a <uid:gid> 指定允许管理 cgroup 和更改子系统参数的用户和组 ID

-g <subsystems:cgroup-path>

 

如:cgcreate -g memory:test_cgroup

 

7. 查看刚创建好的cgroup

cgsnapshot -s

 

8. 将刚创建好的cgroup在系统启动时自动挂载

通过cgcreate创建的cgroup会临时在系统中存在,可以通过cgsnapshot -s命令查看到,但新建的cgroup并没有保存,在系统重启时,自动消失了。

 

这里需要在配置文件中设置新的group,如:

 

mount {

        cpuset  = /cgroup/cpuset;

        cpu     = /cgroup/cpu;

        cpuacct = /cgroup/cpuacct;

        memory  = /cgroup/memory;

        devices = /cgroup/devices;

        freezer = /cgroup/freezer;

        net_cls = /cgroup/net_cls;

        blkio   = /cgroup/blkio;

}

 

group test_cgroup {

        perm {

                admin {

                        uid = endeca_admin;

                        gid = root;

                }

                task {

                        uid = root;

                        gid = root;

                }

        }

        memory {

                memory.memsw.failcnt="0";

                memory.memsw.limit_in_bytes="9223372036854775807";

                memory.memsw.max_usage_in_bytes="0";

                memory.move_charge_at_immigrate="0";

                memory.swappiness="60";

                memory.use_hierarchy="0";

                memory.failcnt="0";

                memory.soft_limit_in_bytes="9223372036854775807";

                memory.limit_in_bytes="9223372036854775807";

                memory.max_usage_in_bytes="0";

        }

}          


                                                       
<think>好的,用户之前已经询问了Docker的底层原理,现在他们又特别问到了Cgroup,而且希望更详细一点。首先,我需要确认用户的需求。他们可能已经了解了一些Cgroup的基本概念,但现在想要深入理解其工作机制、具体功能以及实际应用场景。 用户可能是开发人员或者系统管理员,正在使用容器技术,尤其是Docker,因此需要更深入的知识来优化资源管理或解决性能问题。他们可能想知道Cgroup如何具体限制CPU、内存等资源,或者如何在实际操作中配置和使用Cgroup。 接下来,我需要考虑如何组织信息。用户之前得到的内容已经涵盖了Cgroup基础,所以现在需要扩展细节。可能需要分部分讲解,比如核心概念、子系统分类、工作原理、使用方式、实际应用例子以及注意事项等。 同时,用户可能对Cgroup与Namespace的区别和协同工作感兴趣,虽然问题中没有提到,但适当提及可以帮助用户更全面理解。另外,用户可能关心如何查看和调试Cgroup配置,所以实际操作命令会有帮助。 需要注意的是,避免重复之前提到的内容,但可以适当回顾以保持连贯性。重点放在Cgroup的详细机制、各个子系统的具体参数,以及实际配置示例。比如,如何设置CPU份额、内存限制,或者如何通过systemd与Cgroup集成。 还要考虑用户可能的误区,比如Cgroup只能限制资源,其实它还能进行资源统计和优先级控制。此外,安全性方面,比如权限管理,也是需要提及的。 最后,总结部分要强调理解Cgroup的重要性,特别是在容器化和微服务环境中,帮助用户优化资源利用和系统稳定性。可能还需要提到常见问题,比如配置错误导致的资源不足,以及如何监控和调试。</think>以下是关于 **Cgroup(Control Groups)** 的详细介绍,从核心原理到具体应用逐步展开: --- ### **1. Cgroup 是什么?** - **定义**:Linux 内核提供的机制,用于**限制、记录、隔离进程组(如容器)的资源使用**(CPU、内存、磁盘 I/O、网络等)。 - **核心目标**: - **资源限制**:防止单个进程或容器耗尽系统资源。 - **优先级控制**:为不同进程组分配不同的资源权重。 - **资源统计**:监控资源使用量(如内存占用量、CPU 时间)。 - **进程隔离**:结合 Namespace 实现容器化环境的资源隔离。 --- ### **2. Cgroup 核心概念** #### **2.1 子系统(Subsystem)** 每个子系统负责管理一类资源,常见子系统包括: | 子系统 | 功能 | |-----------------|--------------------------------------| | `cpu` | 限制 CPU 时间片分配(如按权重分配)。 | | `cpuacct` | 统计 CPU 使用时间。 | | `memory` | 限制内存使用量,统计内存占用。 | | `blkio` | 限制块设备(磁盘)的 I/O 带宽。 | | `devices` | 控制进程能否访问特定设备(如 `/dev/sda`)。 | | `net_cls` | 标记网络数据包,配合 TC(流量控制)限速。 | | `freezer` | 挂起或恢复一组进程。 | #### **2.2 层级结构(Hierarchy)** - Cgroup 按树形层级组织,每个层级可关联一个或多个子系统。 - **规则**: - 一个子系统只能附加到一个层级。 - 一个层级可附加多个子系统。 - 每个进程可属于多个层级的 Cgroup(前提是这些层级关联不同的子系统)。 #### **2.3 控制组(Control Group)** - 层级中的节点,可设置资源限制参数,包含一组进程。 - 子控制组继承父控制组的资源限制(可进一步细化限制)。 #### **2.4 任务(Task)** - 即进程(或线程),每个任务属于某个 Cgroup。 --- ### **3. Cgroup 工作原理** #### **3.1 资源限制流程** 1. **创建层级**:挂载一个 Cgroup 层级到文件系统(如 `/sys/fs/cgroup/memory`)。 2. **创建控制组**:在层级中新建目录(如 `/sys/fs/cgroup/memory/group1`)。 3. **配置参数**:向控制组的配置文件写入限制值(如 `memory.limit_in_bytes`)。 4. **添加进程**:将进程 PID 写入控制组的 `tasks` 或 `cgroup.procs` 文件。 5. **内核生效**:内核根据配置限制进程组的资源使用。 #### **3.2 关键配置文件示例** - **CPU 限制**: ```bash # 设置 CPU 权重(默认 1024,值越高分配越多 CPU 时间) echo 512 > /sys/fs/cgroup/cpu/group1/cpu.shares ``` - **内存限制**: ```bash # 限制内存最大使用量为 1GB echo 1G > /sys/fs/cgroup/memory/group1/memory.limit_in_bytes # 启用内存溢出时触发 OOM Killer echo 1 > /sys/fs/cgroup/memory/group1/memory.oom_control ``` - **磁盘 I/O 限制**: ```bash # 限制读速率为 10MB/s(针对主设备号 8、次设备号 0 的磁盘) echo "8:0 10485760" > /sys/fs/cgroup/blkio/group1/blkio.throttle.read_bps_device ``` --- ### **4. Cgroups v1 vs v2** | **特性** | **Cgroups v1** | **Cgroups v2** | |------------------|-------------------------------------|-------------------------------------| | **设计目标** | 功能分散,各子系统独立管理 | 统一资源管理,简化层级结构 | | **子系统支持** | 多个独立子系统(如 `cpu`、`memory`) | 统一接口,所有资源通过单一层级管理 | | **内存控制** | 仅限制内存用量 | 支持内存用量、Swap、缓存等综合控制 | | **默认启用** | 旧版内核(Linux < 4.5) | 新版内核(Linux ≥ 4.5) | --- ### **5. 实际应用场景** #### **5.1 容器资源限制(Docker/Kubernetes)** - Docker 通过 `--cpus`、`--memory` 等参数调用 Cgroup: ```bash docker run --cpus=2 --memory=1g nginx ``` - Kubernetes 通过 `resources.limits` 配置 Pod 的 Cgroup 限制。 #### **5.2 系统资源分配** - **优先级控制**:为关键服务分配更多 CPU 时间。 - **防止资源耗尽**:限制日志服务的内存使用,避免系统崩溃。 #### **5.3 资源监控** - 通过 `cpuacct` 子系统统计容器 CPU 使用时间。 - 通过 `memory.stat` 文件查看内存详细使用情况。 --- ### **6. 操作 Cgroup 的工具** #### **6.1 手动操作** - 通过 `sysfs` 文件系统直接修改配置文件(需 root 权限)。 - 挂载 Cgroup 层级: ```bash mount -t cgroup -o memory memory /sys/fs/cgroup/memory ``` #### **6.2 命令行工具** - **`cgcreate` / `cgset`**:创建控制组并设置参数。 ```bash cgcreate -g cpu,memory:group1 cgset -r cpu.shares=512 group1 ``` - **`systemd`**:通过 `systemd` 管理服务资源(底层依赖 Cgroup): ```bash # 限制服务内存为 1GB systemctl set-property nginx.service MemoryLimit=1G ``` #### **6.3 容器运行时** - Docker、containerd 等自动管理容器的 Cgroup。 --- ### **7. 常见问题与调试** #### **7.1 查看进程所属 Cgroup** ```bash cat /proc/<PID>/cgroup ``` #### **7.2 调试资源限制失败** - **现象**:容器因内存不足被 OOM Killer 终止。 - **检查步骤**: 1. 查看容器 Cgroup 的 `memory.usage_in_bytes`。 2. 检查宿主机内存总量是否充足。 3. 确认是否启用了 Swap。 #### **7.3 Cgroup 与 Namespace 的关系** - **Cgroup**:限制资源用量。 - **Namespace**:隔离进程视图(如 PID、网络)。 - **协同工作**:两者结合实现容器的资源隔离与限制。 --- ### **8. 安全注意事项** - **权限控制**:避免非特权用户修改 Cgroup(可通过 `cgroup` 文件系统的权限设置)。 - **内核漏洞**:旧版 Cgroup 实现可能存在逃逸漏洞(需及时更新内核)。 --- 掌握 Cgroup 的底层机制,能够更精准地优化资源分配、排查性能问题,并设计高可靠性的容器化系统。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值