docker - linux Cgroups

1.Cgroups

Cgroups(control groups),提供对一组进程或者将来子进程的资源限限制、控制和统计能力。这些资源包括：CPU、内存、存储、网络等。他包含三个组件:

• 1、cgroup

是对进程分组管理的一种机制，一个cgroup包含一组进程，并可以在这个cgroup上增加Linux subsystem的各种参数的配置，将一组进程和一组subsystem的系统参数关联起来

• 2、subsystem
  subsystem 是一组资源控制的模块，一般包含有：
  
  • blkio 设置对块设备（比如硬盘）的输入输出的访问控制
  • cpu 设置cgroup中的进程的CPU被调度的策略
  • cpuacct 可以统计cgroup中的进程的CPU占用
  • cpuset 在多核机器上设置cgroup中的进程可以使用的CPU和内存（此处内存仅使用于NUMA架构）
  • devices 控制cgroup中进程对设备的访问
  • freezer 用于挂起(suspends)和恢复(resumes) cgroup中的进程
  • memory 用于控制cgroup中进程的内存占用
  • net_cls 用于将cgroup中进程产生的网络包分类(classify)，以便Linux的tc(traffic controller)可以根据分类(classid)区分出来自某个cgroup的包并做限流或监控。
  • net_prio 设置cgroup中进程产生的网络流量的优先级
  • ns 这个subsystem比较特殊，它的作用是cgroup中进程在新的namespace fork新进程(NEWNS)时，创建出一个新的cgroup，这个cgroup包含新的namespace中进程

每个subsystem会关联到定义了相应限制的cgroup上，并对这个cgroup中的进程做相应的限制和控制，这些subsystem是逐步合并到内核中的，如何看到当前的内核支持哪些subsystem呢？可以安装cgroup的命令行工具(apt-get install cgroup-bin)，然后通过lssubsys看到kernel支持的subsystem。

• 3、hierarchy
  hierarchy 的功能是把一组cgroup串成一个树状的结构，一个这样的树便是一个hierarchy，通过这种树状的结构，Cgroups可以做到继承。比如我的系统对一组定时的任务进程通过cgroup1限制了CPU的使用率，然后其中有一个定时dump日志的进程还需要限制磁盘IO，为了避免限制了影响到其他进程，就可以创建cgroup2继承于cgroup1并限制磁盘的IO，这样cgroup2便继承了cgroup1中的CPU的限制，并且又增加了磁盘IO的限制而不影响到cgroup1中的其他进程。