云原生之深入解析如何限制Kubernetes集群中文件描述符与线程数量

一、背景

• linux 中为了防止进程恶意使用资源，系统使用 ulimit 来限制进程的资源使用情况（包括文件描述符，线程数，内存大小等）。同样地在容器化场景中，需要限制其系统资源的使用量。
• ulimit: docker 默认支持 ulimit 设置，可以在 dockerd 中配置 default-ulimits 可为宿主机所有容器配置默认的 ulimit，docker 启动时可添加 –ulimit 为每个容器配置 ulimit 会覆盖默认的设置，目前 k8s 暂不支持 ulimit。
• cgroup: docker 默认支持 cgroup 中内存、cpu、pid 等的限制，对于线程限制可通过 –pids-limit 可限制每个容器的 pid 总数，dockerd 暂无默认的 pid limit 设置；k8s 限制线程数，可通过在 kubelet 中开启 SupportPodPidsLimit 特性，设置 pod 级别 pid limit。
• /etc/securiy/limits.conf,systcl.confg：通过 ulimit 命令设置只对当前登录用户有效，永久设置可通过 limits.conf 配置文件实现，以及系统级别限制可通过 systcl.confg 配置文件。

二、实验对比

① 环境