Cgroup
**************************************************************
2.为什么限制硬件资源：
一个虚拟机开启一个nginx需要很大的资源，
在docker里：
nginx 一个进程大概占用10-15M
公用内存的弊端：黑客进攻，内存膨胀，增加物理内存的使用率，从而损坏虚拟机和物理内存，最终导致物理机出现问题。
由于无法对黑客的入侵进行防御，所以引出下面的问题，并进行解决。
对计算机的硬件资源进行控制，不能让一个容器把所有资源抢占，如cpu或者内存
3.cgroup介绍：
docker对物理资源进行限制，每个容器可以使用多少内存，cpu优先级，硬盘等，
4.限制的内容：
硬盘：bps lps读写次数，和写的量
cpu 对处理的优先级进行限制
5.cgroups介绍:
control groups
最早谷歌2006年提出来的
集成在linux的内核里，内核处理完成他就完成处理了（Linuxkernel）——process(进程tasks)，将进程放到一个组里，进行限制。
6.cgroup的连接方式：
cgroup的连接方式，通过APL的伪文件系统sys实现的。
(1)APL,伪文件系统sys-fs-cgroups，用来限制硬件资源。
/proc/sys/net/ipv4 修改的就是这个文件，系统限制
(2)cgroup以控制线程进程为主——sys-fs-cgroups-pids-tasks,把pid写进来到tasks,就可以对这个进程进行限制.
(3)所有的功能都叫子系统subsystem——实现的效果是控制接口
cgroup控制的具体事项叫做子系统
如：cpu分配的时间，内存的使用量，硬盘iops/bps,都是cgroup进行限制的具体事项
(4)子进程初始和父进程在同一个从group中，如果强行分开也是可以的。
7.术语解释：
task:要控制的进程
cgroup:单位，可以有多个cgroup组，可以限制不同的内容，组名不能相同。
subsystem:限制具体的内容，cgroup组中的具体事项
hierarchy:层级树，一堆cgroup构成的，包含多个cgroup的叫层级树。
8.安装cgroup管理组件：
yum provides lssubsys
查看yum的某一条命令属于哪一个软件包
然后安装这个软件包
yum -y install libcgroup-tools
查看单独的cgroup支持的子系统
lssubsys -a cgroup
lssubsys -a 显示系统中支持的所有子系统，
lssubsys -m 显示限制的目录的层次结构
9.层级数的四大规则：
(1)同一个hierarchy可以附加一个或多个子系统
(2)一个已经附加到hierarchy的subsystem,不可以附加到其他的含有子系统的hierarchy上，可以附加到没有定义的控制的hierarchy
(3)同一个task不能属于同一个hierarchy的不同cgroup中，仅可以属于不同的hierarchy中的不同的cgroup中。
(4)父进程在哪个task里，子进程在哪个task里边。子进程属于父进程。
10.subsys以挂载的形式进行限制：
mount -t tmpfs cgroup /sys/fs/cgroup
ls /sys/fs/cgroup
lssubsys -a //查看限制，
mkdir cg1
mount -t cgroup -o cpu,memory cpu_and_mem /sys/fs/cgroup/cg1
删除挂载：
rmdir /sys/fs/cgroup/cg1
限制具体内容：
cd /sys/fs/cgroup/cg1
vim cpuset.cpu
0-1 可以使用第一个cpu和第二颗
vim tasks
pid 可以限制进程，将进程的pid写进来就可以限制这个进程。
对io读写的限制，
lps每秒读写次数
bps读写大小