容器中的Cgroup

容器中的Cgroup

Cgroup概念

容器化两个关键核心

• 对于容器技术而言，它实现资源层面上的限制和隔离，依赖于 Linux 内核所提供的 cgroup 和 namespace 技术
• 我们先对这两项技术的作用做个概括：

cgroup 的主要作用：管理资源的分配、限制；

namespace 的主要作用：封装抽象，限制，隔离，使命名空间内的进程看起来拥有他们自己的全局资源；

现代容器化带来的优势

• 轻量级，基于 Linux 内核所提供的 cgroup 和 namespace 能力，创建容器的成本很低；
• 一定的隔离性；
• 标准化，通过使用容器镜像的方式进行应用程序的打包和分发，可以屏蔽掉因为环境不一致带来的诸多问题；
• DevOps 支撑（可以在不同环境，如开发、测试和生产等环境之间轻松迁移应用，同时还可保留应用的全部功能）
• 为基础架构增添防护，提升可靠性、可扩展性和信赖度；
• DevOps/GitOps 支撑 （可以做到快速有效地持续性发布，管理版本及配置）
• 团队成员间可以有效简化、加速和编排应用的开发与部署；

什么是Cgroup

• Cgroup 是 Linux 内核的一个功能，用来限制、控制与分离一个进程组的资源（如CPU、内存、磁盘输入输出等）。它是由 Google 的两位工程师进行开发的，自 2008 年 1 月正式发布的 Linux 内核 v2.6.24 开始提供此能力
• Cgroup 到目前为止，有两个大版本， Cgroup v1 和 v2
• Cgroup 是 Control Groups 的缩写，是Linux 内核提供的一种可以限制、记录、隔离进程组所使用的物理资源(如 CPU、内存、磁盘 IO 等等)的机制，
  被 LXC、docker 等很多项目用于实现进程资源控制。Cgroup 本身是提供将进程进行分组化管理的功能和接口的基础结构，I/O 或内存的分配控制等具体的资源管理是通过该功能来实现的这些具体的资源 管理功能称为 Cgroup 子系统，有以下几大子系统实现：

blkio	设置限制每个块设备的输入输出控制。例如:磁盘，光盘以及 usb 等等
CPU	使用调度程序为 cgroup 任务提供 CPU 的访问
cpuacct	产生 cgroup 任务的 CPU 资源报告
cpuset	如果是多核心的 CPU，这个子系统会为 cgroup 任务分配单独的 CPU 和 内存
devices	允许或拒绝 cgroup 任务对设备的访问
freezer	暂停和恢复 cgroup 任务
memory	设置每个 cgroup 的内存限制以及产生内存资源报告
net_cls	标记每个网络包以供 cgroup 方便使用
ns	命名空间子系统
perf_event	增加了对每个 group 的监测跟踪的能力，可以监测属于某个特定的 group 的所有线程以及运行在特定CPU上的线程

Cgroup的一些测试