Docker 资源限制
限制容器对内存的使用：
下载progrium/stress镜像 作为压力测试
[root@localhost ~]# docker pull progrium/stress
docker run --help
-m, --memory bytes 内存限制
--memory-reservation bytes 内存的软限制
--memory-swap bytes 内存+交换分区
--memory-swappiness int 优化容器内存交换
进行压力测试
docker run -m 200M --memory-swap=300M progrium/stress
--vm 1 --vm-bytes 290M --vm 1：启动一个内存工作线程
--vm-bytes 280M：每个线程分配280内存
因为280M在可分配的范围（300M）内，所以可以正常工作
一直循环分配，释放280M内存
docker run -it -m 200M --memory-swap=300M progrium/stress --vm 1 --vm-bytes 310M
一旦分配的内存超过限额，stress线程报错，容器退出
注：如果在容器启动时只指定 -m 而不指定–memory-swap
那么默认是-m的二倍，容器最多使用200M物理内存和200M swap
限制容器对CPU使用
默认模式下，所有容器是平等使用CPU资源并且没有限制
可以使用-c或- -cpu-shares设置容器使用CPU的权重，默认为1024
通过-c设置的权重并不是CPU资源的绝对数量，而是一个相对的权重值。某个容器最终能分配到的CPU资源取决于它的cpu share所占容器cpu share总和的比例
docker run --name "con_a" -it -c 1024 progrium/stress --cpu 1
docker run --name "con_b" -it -c 512 progrium/stress --cpu 1
con_a的cpu share是1024，con_b的cpu share是512，当都需要cpu资源时，con_a就是con_b的两倍
-c, --cpu-shares int 权重的设定
--cpus decimal 设定cpu的数量
--cpuset-cpus string 允许执行的cpu
--cpuset-mems string 允许执行的MEMs
限制容器的Block IO
Block IO指的是磁盘的读写，docker可通过设置权重，限制bps和iops的方式控制容器读写磁盘的带宽，目前只对 direct IO（不使用文件缓存）有效
block IO权重
默认情况下，所有容器可以平等读写磁盘，可以通过设置 - -blkio-weight参数来改变容器block IO的优先级，默认是500
docker run -it --name con_a --blkio-weight 600 centos7
docker run -it --name con_b --blkio-weight 300 centos7
con_a读写磁盘的带宽是con_b的两倍
限制bps和iops bps是byte per second，每秒读写的数据量
iops是io per second，每秒IO的次数
限制容器写/dev/sda的速率为30MB/s
docker run -it --device-write-bps /dev/sda:30MB centos7:latest /bin/bash
实现容器的底层技术
cgroup
cgroup全称Control Group，可以设置进程使用CPU，内存和IO资源的限额
启动一个容器
docker run --name "con_a" -it -c 1024 progrium/stress --cpu 1
在/sys/fs/cgroup/cpu/docker/目录里，linux会为每个容器创建一个cgroup目录，以容器长ID命名
目录中包含所有cpu相关的cgroup配置，文件cpu.shares保存的就是 - -cpu-shares的配置
/sys/fs/cgroup/memory/docker/保存的是内存的配置
/sys/fs/cgroup/blkio/docker/保存的是Block IO的配置
Mount namespace
Mount namespace让容器看上去拥有整个文件系统
容器有自己的/目录，可以执行mount，umount命令，不会影响到host
UTS namespace
UTS namespace让容器拥有自己的hostname，可以通过-h或- - hostname设置
IPC namespace
IPC namespace让容器拥有自己的共享内存和信号量来实现进程间通信，不会与host或其他的容器混在一起
PID namespace
PID namespace让容器拥有自己独立的PID
Network namespace
Network namespace让容器拥有自己独立的网卡，IP，路由等
User namespace
User namespace让容器能够管理自己的用户，host不能看到容器中创建的用户