限制 Docker 容器的内存与 CPU 资源

默认情况下，容器没有资源限制，可以使用宿主机内核调度器允许它使用的资源。Docker 通过 docker run 的运行时配置参数，控制容器可使用的内存或 CPU。本页说明何时应设置这些限制，以及设置后可能产生的影响。

许多功能需要内核支持相应的 Linux 能力。可以用 docker info 检查支持情况。如果内核禁用了某项能力，输出结尾可能出现这样的警告：

WARNING: No swap limit support

如何启用相关能力，请查阅操作系统文档。更多信息见 Docker Engine 故障排查指南。

内存

理解内存耗尽的风险

不要让正在运行的容器消耗过多宿主机内存。在 Linux 宿主机上，如果内核发现剩余内存不足以执行重要系统功能，就会发生内存耗尽错误，并开始终止进程来释放内存。任何进程都可能被终止，包括 Docker 和其他重要应用。如果错误地终止了关键进程，整个系统可能停止正常工作。

Docker 会调整 Docker 守护进程的 OOM 优先级，使其相较其他系统进程更不容易被终止，以缓解风险。容器的 OOM 优先级不会被调整，因此单个容器比 Docker 守护进程或其他系统进程更可能被终止。不要通过给守护进程或容器设置极低的负数 --oom-score-adj，或给容器设置 --oom-kill-disable，来绕过这些保护。

Linux 内核 OOM 管理的更多说明见 Out of Memory Management。

可以采取以下措施，降低内存耗尽导致系统不稳定的风险：

• 上线前进行测试，了解应用的内存需求。
• 确保应用只运行在资源充足的宿主机上。
• 按下文所述限制容器可使用的内存。
• 谨慎配置 Docker 宿主机的交换空间。交换空间比内存慢，但可以在系统内存不足时提供缓冲。
• 考虑把容器转换为 服务，并使用服务级约束与节点标签，让应用只运行在内存足够的宿主机上。

限制容器可使用的内存

Docker 可以实施硬内存限制和软内存限制。硬限制规定容器不能使用超过固定数量的内存；软限制通常允许容器按需使用内存，只有满足特定条件时才起作用，例如内核发现宿主机内存不足或出现资源争用。

某些选项单独使用与组合使用时会产生不同效果。大多数选项接收一个正整数，后跟 b、k、m、g 后缀，分别表示字节、千字节、兆字节和吉字节。

关于 cgroup 与内存的更多说明，见 Memory Resource Controller。这些内核资料包含 cgroup v1 路径，具体支持情况应结合实际宿主内核和 cgroup 版本核查。

--memory-swap 的详细语义

--memory-swap 是一个修饰参数，只有同时设置 --memory 时才有意义。容器用完可用 RAM 后，交换空间允许它把额外的内存需求写入磁盘。频繁换出会带来性能损失。

不同取值的效果如下：

• 若 --memory-swap 为正整数，则必须同时设置 --memory 与 --memory-swap。--memory-swap 表示内存与交换空间可使用的总量，--memory 限制非交换内存。例如 --memory="300m"、--memory-swap="1g" 时，源文示例把预算解释为 300m 内存与 700m（1g - 300m）交换空间。具体换算应按运行时单位语义核对。
• 设为 0 时，此设置被忽略，按未设置处理。
• 若与正值 --memory 相同，容器不能使用交换空间。
• 若不设置 --memory-swap，但设置了 --memory，并且宿主机配置了交换空间，则容器可以使用与 --memory 数值相同的交换空间。例如只设置 --memory="300m" 时，内存与交换空间总预算可为 600m。
• 显式设为 -1 时，容器的交换空间不设自身上限，但仍受宿主机可用交换空间总量限制。
• 在容器内，free 等工具显示的是宿主机可用交换空间，并非容器实际可使用的交换空间。不要依赖这些输出判断容器是否能够使用交换空间。

防止容器使用交换空间

把 --memory 与 --memory-swap 设为相同的正值，就能阻止容器使用交换空间。这是因为 --memory-swap 控制内存与交换空间的合计值，而 --memory 只控制物理内存。

--memory-swappiness 的详细语义

• 值为 0 时，关闭匿名页换出。
• 值为 100 时，所有匿名页都可被换出。
• 未设置时，默认继承宿主机的值。

CPU

默认情况下，每个容器使用宿主机 CPU 周期的能力都没有限制。可以配置不同约束来限制某个容器的 CPU 使用。多数用户使用默认 CFS 调度器，也可以配置实时调度器。

配置默认 CFS 调度器

CFS 是 Linux 内核对普通进程使用的 CPU 调度器。多个运行时参数可以控制容器获得的 CPU 资源；使用这些设置时，Docker 会修改宿主机上该容器的 cgroup 设置。

宿主机只有一个 CPU 时，下列命令让容器每秒最多使用相当于 50% 的 CPU：

$ docker run -it --cpus=".5" ubuntu /bin/bash

这等价于手动设置 --cpu-period 与 --cpu-quota：

$ docker run -it --cpu-period=100000 --cpu-quota=50000 ubuntu /bin/bash

配置实时调度器

无法使用 CFS 调度器的任务，可以考虑为容器配置实时调度器。必须先正确配置宿主机内核，然后配置 Docker 守护进程和单个容器。

CPU 调度和优先级属于高级内核功能。多数用户无需改变默认值。错误的设置可能使宿主系统不稳定，甚至无法使用。

配置宿主机内核

运行 zcat /proc/config.gz | grep CONFIG_RT_GROUP_SCHED，或者检查 /sys/fs/cgroup/cpu.rt_runtime_us 文件是否存在，确认 Linux 内核启用了 CONFIG_RT_GROUP_SCHED。如何配置内核实时调度器，请查阅操作系统文档。这些检查路径来自源文，适用性需要按内核及 cgroup 版本核查。

配置 Docker 守护进程

使用实时调度器时，启动 Docker 守护进程并设置 --cpu-rt-runtime，指定每个运行周期为实时任务保留的最大微秒数。例如默认周期为 1000000 微秒（1 秒）时，设置 --cpu-rt-runtime=950000，使实时容器每个周期最多运行 950000 微秒，并为非实时任务至少保留 50000 微秒。

对于使用 systemd 的系统，要让设置持久生效，可为 docker 服务创建 systemd 单元文件。参见通过 systemd 单元文件 配置守护进程代理的相关说明。

配置单个容器

用 docker run 启动容器时，可以传入多个参数控制 CPU 优先级。合适的取值请查阅操作系统文档或 ulimit 文档。

源文用 debian:jessie 容器示范这三个参数。该镜像属于历史示例，不能据此认定其适合现行生产环境。

$ docker run -it \
    --cpu-rt-runtime=950000 \
    --ulimit rtprio=99 \
    --cap-add=sys_nice \
    debian:jessie

如果内核或 Docker 守护进程配置不正确，就会出现错误。

GPU

如何在容器中访问 NVIDIA GPU，参见 GPU access。