17、Docker资源控制、命名空间与安全机制深度解析

Docker资源控制、命名空间与安全机制深度解析

1. Docker与cgroups资源管理

Docker利用cgroups来管理和监控容器资源使用情况。cgroups不仅能限制资源，还能提供诸如CPU、RAM、磁盘I/O等资源使用的统计信息，这些信息可在 docker stats 命令的输出中看到。

1.1 LXC执行驱动

使用LXC执行驱动可以对容器的cgroups设置进行精细控制。使用前，需将执行驱动切换为LXC并重新创建所需容器。例如，在创建容器时，可指定 cgroups blkio.throttle.write_iops_device 设置来限制容器在设备上的写入IOPS数量：

$ docker run -d --lxc-conf="lxc.cgroups.blkio.throttle.write_iops = 500" \
adejonge/helloworld

此命令将该容器的每秒写入I/O操作数限制为500，确保为其他容器预留I/O资源。不过，使用 --lxc-conf 参数直接向LXC执行驱动传递设置时，Docker并不知晓，若用于配置其他设置，在管理容器时可能会出现问题。

1.2 /sys文件系统

通过 /sys 文件系统可直接与内核交互，对cgroups进行精细控制，且可在容器运行时动态更改设置。以下是更改运行中容器CPU cgroups设置的步骤：
1. 获取容器的长