2. Docker 资源限制基础：CPU、内存、磁盘IO、网络带宽限制的核心概念与cgroup原理

2.1 为什么需要资源限制？

在 Docker 容器化部署中，多个容器共享宿主机的操作系统内核与硬件资源。如果没有资源限制，一个异常容器（如内存泄漏、CPU 死循环）可能耗尽宿主机资源，导致其他业务容器甚至宿主机本身不可用。资源限制是保障多租户隔离、服务稳定性与可预测性的第一道防线。

2.2 cgroup 原理概述

cgroup 是 Linux 内核提供的一种资源管理机制，Docker 通过它实现资源限制。cgroup 将进程（容器内的所有进程）组织成层级化的控制组，并为每个组设置资源配额。Docker 在创建容器时，会在 /sys/fs/cgroup/ 下为容器创建对应的子目录，写入限制参数。

2.3 CPU 资源限制

Docker 通过 --cpus、--cpu-shares、--cpuset-cpus 等参数控制容器 CPU 使用。底层对应 cgroup 的 cpu 子系统。

CPU 限制示例

# 限制容器最多使用 2.5 个 CPU 核心
docker run --cpus="2.5" nginx

# 设置 CPU 权重为 2048（默认 1024），竞争时获得更多时间片
docker run --cpu-shares=2048 nginx

# 绑定到 CPU 核心 0 和 1
docker run --cpuset-cpus="0,1" nginx

2.4 内存资源限制

内存限制通过 --memory（硬限制）和 --memory-swap（交换分区限制）实现，对应 cgroup 的 memory 子系统。当容器内存使用超过硬限制时，内核会触发 OOM Killer 终止容器进程。

内存限制示例

# 限制物理内存 512MB，禁用 swap
docker run -m 512m nginx

# 限制物理内存 1GB，swap 上限 512MB（总计 1.5GB）
docker run -m 1g --memory-swap 1.5g nginx

# 设置软限制 2GB，硬限制 4GB
docker run -m 4g --memory-reservation 2g nginx

2.5 磁盘 I/O 资源限制

磁盘 I/O 限制通过 --blkio-weight、--device-read-bps、--device-write-iops 等参数实现，对应 cgroup 的 blkio 子系统。支持按设备（如 /dev/sda）分别限制读写速率。

磁盘 I/O 限制示例

# 设置 blkio 权重为 800（高优先级）
docker run --blkio-weight 800 nginx

# 限制 /dev/sda 读取速率 50MB/s，写入速率 30MB/s
docker run --device-read-bps /dev/sda:50mb --device-write-bps /dev/sda:30mb nginx

# 限制 /dev/sda 读取 IOPS 为 1000，写入 IOPS 为 500
docker run --device-read-iops /dev/sda:1000 --device-write-iops /dev/sda:500 nginx

2.6 网络带宽限制

Docker 原生未提供直接的网络带宽限制参数，但可通过以下方式实现：

• tc（Traffic Control）： 在容器 veth 接口上配置 HTB 或 TBF 队列规则，限制带宽。
• --net QoS 插件： 使用第三方面网络插件（如 Calico、Weave）的 QoS 策略。
• cgroup net_prio 子系统： 设置网络优先级，间接影响带宽分配。

tc 限速示例

# 获取容器网络命名空间 PID
CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' container_name)

# 在容器网络命名空间中配置 tc 限速（限制出口带宽 10Mbps）
nsenter -t $CONTAINER_PID -n tc qdisc add dev eth0 root tbf rate 10mbit burst 32kbit latency 400ms

2.7 资源限制综合配置清单

以下是一个企业级 Nginx 容器的资源限制示例，涵盖 CPU、内存、磁盘 I/O 和网络带宽：

docker run -d \
  --name web-nginx \
  --cpus="2" \
  --memory="1g" \
  --memory-swap="1.5g" \
  --memory-reservation="768m" \
  --blkio-weight=600 \
  --device-read-bps /dev/sda:100mb \
  --device-write-bps /dev/sda:50mb \
  --device-read-iops /dev/sda:5000 \
  --device-write-iops /dev/sda:2000 \
  --restart=always \
  nginx:1.25-alpine

2.8 常见资源限制异常与排查方向