Docker 17.06-ce 对共享主机资源的默认容器内存限制

Question

我有一个资源为 8 核 / 16 GB RAM 的主机。我们使用cgroup 为我们的自定义应用程序分配CPU 和memory。我们试图在我们的自定义应用程序和 docker 之间创建一个静态分区资源。例如，我们正在尝试分配以下内容：-

4 CPU cores / 8 GB RAM --> docker
3 CPU cores / 6 GB RAM --> custom_app_1

the remaining for OS

我们已经设法为custom_app_1 执行隔离。问题是我如何为我们的容器创建默认限制内存和 cpu，而不必为单个容器使用标志 --memory 或 --cpus。我不需要限制每个容器，但我需要确保在主机中运行的所有容器不能超过 8GB RAM 和 4 个 CPU 内核的使用量，否则它将与我的 custom_app_1 争夺资源

当我执行docker stats 时，每个容器都看到 16 GB 的 RAM，我该如何配置以便它们只能看到 8 GB 的 RAM 和 4 个 CPU 内核

Answer 1

所以你需要做的是为内存创建一个 SystemD 切片。

# /etc/systemd/system/limit-docker-memory.slice
[Unit]
Description=Slice with MemoryLimit=8G for docker
Before=slices.target

[Slice]
MemoryAccounting=true
MemoryLimit=8G

然后在/etc/docker/daemon.json中配置该切片

{
    "cgroup-parent": "limit-docker-memory.slice"
}

重新加载 systemctl 并重启 docker

systemctl daemon-reload
systemctl restart docker

请参阅documentation中的相关部分

默认 CGROUP 父级

--cgroup-parent 选项允许您设置默认 cgroup 父级以用于容器。如果未设置此选项，则默认为 /docker 用于 fs cgroup 驱动程序和 system.slice 用于 systemd cgroup 驱动程序。

如果 cgroup 有前导正斜杠 (/)，则在根 cgroup 下创建 cgroup，否则在守护进程 cgroup 下创建 cgroup。

假设守护进程在 cgroup daemoncgroup 中运行，--cgroup-parent=/foobar 在 /sys/fs/cgroup/memory/foobar 中创建 cgroup，而使用 --cgroup-parent=foobar 在 /sys 中创建 cgroup /fs/cgroup/memory/daemoncgroup/foobar

systemd cgroup 驱动对 --cgroup-parent 有不同的规则。 Systemd 按切片表示层次结构，切片的名称编码树中的位置。所以 systemd cgroups 的 --cgroup-parent 应该是一个切片名称。名称可以由以破折号分隔的一系列名称组成，这些名称描述了从根切片到切片的路径。例如，--cgroup-parent=user-a-b.slice 表示容器的内存 cgroup 在 /sys/fs/cgroup/memory/user.slice/user-a.slice/user-a-b.slice/docker 中创建-.scope。

也可以使用 docker create 和 docker run 上的 --cgroup-parent 选项为每个容器设置此设置，并且优先于守护程序上的 --cgroup-parent 选项。