问题
解决之道
Docker Daemon的处理方式
对于Docker引擎而言,可是使用--sysctl
运行参数来设定需要更改的内核参数,例如:
docker run -it --sysctl net.core.somaxconn=65535 busybox
#在容器看看是否配置成功:
cat /proc/sys/net/core/somaxconn
可以看到,Docker引擎对容器进行了相关的配置,而无需使用特权模式来设置内核参数
Kubernetes的处理之道
Kubernetes Sysctls
具体可以参考:Using Sysctls in a Kubernetes Cluster
kernel.shm*,
kernel.msg*,
kernel.sem,
fs.mqueue.*,
net.*.
apiVersion: v1
kind: Pod
metadata:
name: test-sysctl
annotations:
security.alpha.kubernetes.io/unsafe-sysctls: net.core.somaxconn=65535
spec:
containers:
- image: nginx
name: nginx
ports:
- containerPort: 80
protocol: TCP
nodeSelector:
kubernetes.io/hostname: cn-shenzhen.i-xxxxx
注意:对于需要变更内核参数的应用,建议部署到特定的机器上。为了方便,我是使用了node selector。
如果对应的机器的kubelet没有打开这个对应的开关,那么pod是部署不成功的。 我们可以通过kubectl get event
来看看对应的日志:
其实不是的,因为真正执行sysctl
是kubernetes的pause container
也叫做infra container
,我们找到对应的这个容器,再docker inspect看看:
这个时候,我们发现,这个pause容器配置了sysctls。
Kubernetes Init Container
Init container的用法可以参考:Init Containers
使用init container的好处是,无需去改变kubelet的配置,但是需要给这个init container配置成privilege的权限。
apiVersion: v1
kind: Pod
metadata:
name: test-sysctl-init
namespace: default
spec:
containers:
- image: nginx
imagePullPolicy: Always
name: nginx
ports:
- containerPort: 80
protocol: TCP
initContainers:
- image: busybox
command:
- sh
- -c
- echo 10000 > /proc/sys/net/core/somaxconn
imagePullPolicy: Always
name: setsysctl
securityContext:
privileged: true