前言

在Docker容器化部署中，資源隔離與限制是保障系統(tǒng)穩(wěn)定性的關(guān)鍵。若不對容器資源進(jìn)行約束，單個容器可能因資源濫用耗盡主機(jī)資源，導(dǎo)致其他容器或主機(jī)服務(wù)崩潰。本文將從CPU、內(nèi)存、磁盤IO三大核心資源入手，詳細(xì)講解Docker資源限制的參數(shù)配置、實(shí)操驗(yàn)證、注意事項(xiàng)，同時補(bǔ)充空間清理、命令速查與避坑指南，助力開發(fā)者高效管控容器資源。

一、CPU資源控制

Docker通過多種方式對容器CPU資源進(jìn)行管控，可根據(jù)實(shí)際需求設(shè)置使用率上限、資源占用權(quán)重、綁定指定CPU核心等，實(shí)現(xiàn)CPU資源的精細(xì)化分配。

1.1 設(shè)置CPU使用率上限

通過 --cpus 參數(shù)可直接限制容器能使用的CPU核心數(shù)（支持小數(shù)），本質(zhì)是控制CPU使用率上限。該參數(shù)直觀易懂，是日常使用中最常用的CPU限制方式。

語法示例：

docker run -d --name cpu-demo --cpus 1 nginx

docker run -d --name cpu-demo-0.5 --cpus 0.5 nginx

原理：Docker通過CGroup的CPU配額機(jī)制實(shí)現(xiàn)，--cpus 1 表示容器在每個CPU周期（默認(rèn)100ms）內(nèi)最多可使用100ms的CPU時間，對應(yīng)1個核心的滿負(fù)載；--cpus 0.5 則表示每個周期最多使用50ms，對應(yīng)單核心50%的使用率。

1.2 設(shè)置CPU占用比（權(quán)重 --cpu-shares）

--cpu-shares 參數(shù)用于設(shè)置容器間的CPU資源競爭權(quán)重（默認(rèn)值1024），僅在多個容器同時競爭CPU資源時生效，非絕對限制。權(quán)重值越高，容器在資源競爭中獲得的CPU時間片越多。

語法示例：

docker run -d --name cpu-high --cpu-shares 2048 nginx
docker run -d --name cpu-low --cpu-shares 1024 nginx

驗(yàn)證效果：當(dāng)主機(jī)CPU資源緊張時，cpu-high 容器獲得的CPU時間片約為 cpu-low 的2倍；若主機(jī)CPU資源充足，兩個容器均可使用空閑CPU資源，權(quán)重限制不生效。因此，該參數(shù)適合對不同優(yōu)先級容器進(jìn)行資源分配（如核心業(yè)務(wù)容器設(shè)置更高權(quán)重）。

1.3 綁定指定CPU（--cpuset-cpus）

通過 --cpuset-cpus 參數(shù)可將容器綁定到主機(jī)指定的CPU核心上，避免容器在多個核心間切換，減少上下文切換開銷，同時精準(zhǔn)控制容器使用的CPU資源范圍。

語法示例：

綁定到離散的CPU核心（如第0、1個核心）

docker run -d --name cpu-bind --cpuset-cpus 0,1 nginx

綁定到連續(xù)的CPU核心范圍（如第0至3個核心）

docker run -d --name cpu-bind-range --cpuset-cpus 0-3 nginx

適用場景：對CPU性能敏感的業(yè)務(wù)（如計(jì)算密集型應(yīng)用），綁定核心可提升運(yùn)行穩(wěn)定性和效率；同時可避免關(guān)鍵容器與其他容器爭搶核心資源。

1.4 壓力測試與驗(yàn)證示例（CPU）

使用 stress 工具對容器進(jìn)行CPU壓力測試，驗(yàn)證資源限制效果。首先拉取stress鏡像，再通過容器運(yùn)行壓力測試命令，結(jié)合 docker stats 觀察資源使用情況。

實(shí)操步驟：

拉取 stress 鏡像

docker pull progrium/stress

運(yùn)行容器并限制 CPU 核心

docker run -d --name cpu-stress --cpus 1 progrium/stress -c 2

查看容器 CPU 使用情況

docker stats cpu-stress

預(yù)期結(jié)果：docker stats 顯示容器CPU使用率穩(wěn)定在100%左右（對應(yīng)1個核心滿負(fù)載），而非200%，說明CPU限制生效。

1.5 注意事項(xiàng)（CPU）

• --cpus 參數(shù)在Docker 1.13及以上版本支持，低版本需通過 --cpu-period 和 --cpu-quota 組合實(shí)現(xiàn)（周期默認(rèn)100000us，配額=核心數(shù)×周期）。
• 綁定CPU核心時，需確保主機(jī)存在對應(yīng)核心（可通過 lscpu 查看主機(jī)CPU信息），否則容器無法啟動。
• 權(quán)重值僅在資源競爭時生效，無法保障容器最低CPU資源，若需最低保障，可結(jié)合 --cpus 和資源調(diào)度策略使用。

二、內(nèi)存使用限制

Docker對容器內(nèi)存的限制主要通過 --memory 和 --memory-swap 參數(shù)實(shí)現(xiàn)，可控制容器使用的物理內(nèi)存上限及虛擬內(nèi)存（內(nèi)存+交換分區(qū)）上限，避免內(nèi)存溢出導(dǎo)致主機(jī)崩潰。

2.1 --memory 與 --memory-swap 規(guī)則

--memory（簡寫 -m）：限制容器可使用的物理內(nèi)存上限，支持單位為b、k、m、g（如1024m=1g）。

--memory-swap：限制容器可使用的虛擬內(nèi)存上限（物理內(nèi)存+交換分區(qū)），規(guī)則如下：

• 若不指定--memory-swap，則默認(rèn)虛擬內(nèi)存上限為 --memory 的2倍（如 -m 1g 對應(yīng)虛擬內(nèi)存上限2g）。
• 若 --memory-swap 與 --memory 數(shù)值相同，則容器無法使用交換分區(qū)（僅能使用物理內(nèi)存）。
• 若 --memory-swap 設(shè)置為 -1，則容器可使用無限虛擬內(nèi)存（受主機(jī)交換分區(qū)大小限制）。

2.2 示例命令

限制容器內(nèi)存的Docker命令示例

以下示例展示了如何通過docker run命令限制容器的物理內(nèi)存和虛擬內(nèi)存：

限制容器物理內(nèi)存1G，虛擬內(nèi)存2G（默認(rèn)規(guī)則）

docker run -d --name mem-demo -m 1g nginx

限制容器物理內(nèi)存1G，禁止使用交換分區(qū)（虛擬內(nèi)存=物理內(nèi)存）

docker run -d --name mem-no-swap -m 1g --memory-swap 1g nginx

限制容器物理內(nèi)存1G，虛擬內(nèi)存上限3G

docker run -d --name mem-swap -m 1g --memory-swap 3g nginx

限制物理內(nèi)存1G，允許使用無限虛擬內(nèi)存

docker run -d --name mem-unlimited-swap -m 1g --memory-swap -1 nginx

參數(shù)說明

• -m或--memory：限制容器可用的物理內(nèi)存（如1g表示1GB）。
• --memory-swap：限制容器可用的虛擬內(nèi)存總量（物理內(nèi)存+交換分區(qū)）。
  • 未設(shè)置時默認(rèn)值為物理內(nèi)存的2倍。
  • 設(shè)置為與-m相同值時禁用交換分區(qū)。
  • 設(shè)置為-1時允許無限使用交換分區(qū)（需宿主機(jī)支持）。

2.3 驗(yàn)證與觀察

通過 docker stats 可實(shí)時觀察容器內(nèi)存使用情況，也可進(jìn)入容器內(nèi)部通過 free 命令查看內(nèi)存分配。

實(shí)操示例：

運(yùn)行內(nèi)存壓力測試容器

限制物理內(nèi)存512MB并禁用交換分區(qū)，運(yùn)行內(nèi)存壓力測試容器：

docker run -d --name mem-stress -m 512m --memory-swap 512m progrium/stress -m 1 --vm-bytes 600m

監(jiān)控容器內(nèi)存使用狀態(tài)

實(shí)時查看容器的內(nèi)存使用情況和運(yùn)行狀態(tài)：

docker stats mem-stress

檢查容器終止?fàn)顟B(tài)

驗(yàn)證容器是否因內(nèi)存溢出被終止：

docker inspect --format '{{.State.Status}}' mem-stress

完整測試流程說明

執(zhí)行上述命令后，系統(tǒng)會創(chuàng)建一個名為mem-stress的容器，該容器被限制只能使用512MB物理內(nèi)存且無法使用交換空間。通過progrium/stress工具嘗試分配600MB內(nèi)存，這將觸發(fā)內(nèi)存限制機(jī)制。

docker stats命令可以實(shí)時觀察內(nèi)存使用情況，當(dāng)容器內(nèi)存使用達(dá)到限制時會被OOM Killer終止。最后一條命令會顯示容器狀態(tài)，若顯示exited則表明容器因內(nèi)存不足被終止。

2.4 建議與注意

• 為容器設(shè)置內(nèi)存限制時，需預(yù)留一定冗余（如業(yè)務(wù)正常使用500m內(nèi)存，可設(shè)置 -m 600m），避免突發(fā)流量導(dǎo)致容器被終止。
• 若容器業(yè)務(wù)依賴交換分區(qū)，需合理設(shè)置 --memory-swap 數(shù)值，避免因禁止交換分區(qū)導(dǎo)致業(yè)務(wù)異常。
• 低版本Docker中，內(nèi)存限制可能受主機(jī)內(nèi)核參數(shù)影響，需確保內(nèi)核支持CGroup內(nèi)存管控（可通過 cat /proc/cgroups | grep memory 驗(yàn)證）。

三、磁盤IO（blkio/io）控制

Docker通過blkio子系統(tǒng)（塊設(shè)備IO）對容器的磁盤讀寫速度進(jìn)行限制，適用于避免單個容器大量讀寫磁盤影響其他容器IO性能的場景（如數(shù)據(jù)庫容器、日志收集容器）。

3.1 常用Docker參數(shù)（blkio）

Docker提供以下核心參數(shù)控制磁盤IO，支持對讀、寫速度分別限制：

• --blkio-weight：設(shè)置容器磁盤IO權(quán)重（默認(rèn)500，范圍10-1000），類似CPU權(quán)重，僅在IO競爭時生效。
• --blkio-weight-device：對指定設(shè)備設(shè)置IO權(quán)重（格式：設(shè)備路徑:權(quán)重，如 /dev/sda:800）。
• --device-read-bps：限制容器對指定設(shè)備的讀速度（單位b、k、m、g，如 /dev/sda:100m 表示每秒最多讀100MB）。
• --device-write-bps：限制容器對指定設(shè)備的寫速度（格式同讀速度限制）。
• --device-read-iops：限制容器對指定設(shè)備的讀IOPS（每秒輸入/輸出操作數(shù)）。
• --device-write-iops：限制容器對指定設(shè)備的寫IOPS。

常用示例：

限制容器磁盤IO的Docker命令示例

限制容器對/dev/sda設(shè)備的寫速度為50MB/s

docker run -d --name blkio-demo --device-write-bps /dev/sda:50mb nginx

設(shè)置容器磁盤IO權(quán)重為800（默認(rèn)值為500）

docker run -d --name blkio-weight --blkio-weight 800 nginx

同時限制讀速度100MB/s和寫速度50MB/s

docker run -d --name blkio-rw --device-read-bps /dev/sda:100mb --device-write-bps /dev/sda:50mb nginx

參數(shù)說明

• --device-write-bps：限制指定設(shè)備的寫入帶寬，單位支持kb/mb/gb
• --device-read-bps：限制指定設(shè)備的讀取帶寬
• --blkio-weight：設(shè)置IO相對權(quán)重（范圍100-1000），值越高優(yōu)先級越高
• 設(shè)備路徑需替換為實(shí)際塊設(shè)備（如/dev/nvme0n1等）

注意事項(xiàng)

• 需要主機(jī)內(nèi)核支持CFQ調(diào)度器（查看/sys/block/sda/queue/scheduler）
• 權(quán)限要求：運(yùn)行命令的用戶需有docker組權(quán)限或root權(quán)限
• 單位縮寫需小寫（如mb而非MB）

3.2 驗(yàn)證（用dd測試寫速）

使用 dd 命令在容器內(nèi)進(jìn)行磁盤寫操作，驗(yàn)證IO限制效果。需先進(jìn)入容器，再執(zhí)行寫測試命令。

實(shí)操步驟：

運(yùn)行容器并限制磁盤寫速度

使用以下命令運(yùn)行容器，限制 /dev/sda 的寫速度為 50MB/s：

docker run -it --rm --name blkio-test --device-write-bps /dev/sda:50m ubuntu /bin/bash

在容器內(nèi)執(zhí)行磁盤寫測試

進(jìn)入容器后，執(zhí)行以下 dd 命令生成 1GB 文件，塊大小為 1MB，直接寫入磁盤（繞過緩存）：

dd if=/dev/zero of=/testfile bs=1M count=1024 oflag=direct

參數(shù)說明

• --device-write-bps /dev/sda:50m：限制 /dev/sda 設(shè)備的寫速度為 50MB/s。
• oflag=direct：確保寫入操作直接作用于磁盤，避免緩存影響速度測試。
• bs=1M count=1024：指定每次寫入 1MB 數(shù)據(jù)，共寫入 1024 次，總計(jì) 1GB。

預(yù)期結(jié)果：寫操作速度穩(wěn)定在50MB/s左右，耗時約20秒（1G÷50MB/s），說明寫速度限制生效。若未設(shè)置限制，寫速度會接近主機(jī)磁盤最大寫速。

3.3 注意事項(xiàng)（blkio）

• IO限制參數(shù)僅對塊設(shè)備（如/dev/sda）生效，對臨時文件系統(tǒng)（tmpfs）、網(wǎng)絡(luò)存儲等無效。
• --blkio-weight 僅在IO資源競爭時生效，若主機(jī)磁盤IO空閑，容器可使用滿速IO。
• IOPS限制與讀寫速度限制可同時設(shè)置，適用于對磁盤IO延遲敏感的業(yè)務(wù)（如數(shù)據(jù)庫），需根據(jù)業(yè)務(wù)需求調(diào)整參數(shù)。
• 部分文件系統(tǒng)（如ext4、xfs）對IO限制支持更好，使用小眾文件系統(tǒng)時需測試參數(shù)兼容性。

四、清理Docker占用的磁盤空間

Docker運(yùn)行過程中會產(chǎn)生鏡像、容器、日志、緩存等文件，長期積累會占用大量磁盤空間，需定期清理無用資源。

4.1 一鍵清理無用資源

Docker提供 docker system prune 命令，可一鍵清理停止的容器、無用的網(wǎng)絡(luò)、懸空鏡像（無標(biāo)簽鏡像）、構(gòu)建緩存等。

一鍵清理（需確認(rèn)，會刪除停止的容器、懸空鏡像等）

docker system prune

強(qiáng)制清理（無需確認(rèn)，同時刪除未使用的鏡像）

docker system prune -af

清理無用卷（卷需單獨(dú)清理，避免誤刪有用數(shù)據(jù)）

docker volume prune -f

說明

• docker system prune 默認(rèn)會刪除停止的容器、懸空鏡像和懸空網(wǎng)絡(luò)，但需要手動確認(rèn)。
• -a 參數(shù)會刪除所有未使用的鏡像（不僅僅是懸空鏡像）。
• -f 參數(shù)強(qiáng)制清理，無需確認(rèn)。
• docker volume prune 專門清理未被容器引用的卷，需謹(jǐn)慎使用以避免數(shù)據(jù)丟失。

4.2 針對性清理

清理Docker資源的完整命令集

以下是一組用于清理Docker資源的實(shí)用命令，包括停止的容器、懸空鏡像和日志文件：

刪除所有已停止的容器

docker rm $(docker ps -a -q -f status=exited)

刪除所有懸空鏡像

docker rmi $(docker images -f "dangling=true" -q)

刪除指定鏡像（通過ID或名稱）

docker rmi [鏡像ID或鏡像名:標(biāo)簽]

清理容器日志（無需停止容器）

truncate -s 0 /var/lib/docker/containers/$(docker inspect --format '{{.Id}}' [容器名])/*-json.log

批量清理所有容器的日志文件

for container in $(docker ps -aq); do truncate -s 0 /var/lib/docker/containers/${container}/*-json.log; done

使用注意事項(xiàng)

執(zhí)行刪除操作前建議先查看要刪除的對象：

# 查看所有已停止的容器
docker ps -a -f status=exited

# 查看所有懸空鏡像
docker images -f "dangling=true"

對于生產(chǎn)環(huán)境，建議先備份重要數(shù)據(jù)再執(zhí)行清理操作。批量刪除命令會清除所有符合條件的資源，無法選擇性保留。

4.3 預(yù)防建議

• 為容器日志設(shè)置滾動策略（如使用json-file驅(qū)動時，通過 --log-opt max-size 和 --log-opt max-file 限制日志大?。?。
• 定期構(gòu)建鏡像，刪除無用標(biāo)簽鏡像，使用多階段構(gòu)建減小鏡像體積。
• 對不需要持久化的數(shù)據(jù)，使用臨時卷或tmpfs掛載，避免占用磁盤空間。

五、常見命令速查（快速摘錄）

5.1 資源限制命令

資源限制命令總結(jié)

1.CPU限制

docker run -itd --name c1 --cpu-shares 512 centos:7

通過--cpu-shares設(shè)置容器CPU權(quán)重，默認(rèn)1024，數(shù)值越高優(yōu)先級越高。

docker run -itd --name c2 --cpu-quota 50000 centos:7

使用--cpu-quota限制容器在每個調(diào)度周期內(nèi)最多使用的CPU時間（微秒），通常與--cpu-period配合使用。

docker run -itd --name c3 --cpuset-cpus "1,3" centos:7

通過--cpuset-cpus綁定容器到指定CPU核心（例中為1號、3號核心）。

docker run -itd --name c4 --cpus="0.5" centos:7

使用--cpus直接限制容器可用CPU核數(shù)（例中限制為0.5核）。

2.內(nèi)存限制

docker run -itd --name memtest -m 512m centos:7

通過-m或--memory限制容器最大物理內(nèi)存使用量（例中512MB）。

docker run -itd --name memtest2 -m 300m --memory-swap=1g centos:7

組合使用-m和--memory-swap限制物理內(nèi)存和交換空間總量（例中300MB物理內(nèi)存+700MB交換空間）。

3.磁盤I/O限制

docker run -it --name iotest --device-write-bps /dev/sda:1MB centos:7

通過--device-write-bps限制設(shè)備寫入速率（例中限制為1MB/s）。

4.監(jiān)控與驗(yàn)證

docker stats

實(shí)時監(jiān)控容器資源使用情況。

docker exec -it <container> bash
cat /sys/fs/cgroup/cpu/docker/<container-id>/cpu.cfs_quota_us
cat /sys/fs/cgroup/memory/docker/<container-id>/memory.limit_in_bytes

進(jìn)入容器后查看cgroup文件驗(yàn)證CPU配額和內(nèi)存限制的實(shí)際數(shù)值。

5.清理命令

docker system prune -a

清理所有停止的容器、未使用的網(wǎng)絡(luò)和懸空鏡像。

5.2 資源查看命令

以下是實(shí)現(xiàn)實(shí)時查看容器資源使用情況、檢查容器資源限制配置以及查看主機(jī)CPU和磁盤信息的代碼片段：

實(shí)時查看容器資源使用情況

docker stats 容器名/容器ID

查看容器資源限制配置

docker inspect --format '{{.HostConfig.Resources}}' 容器名/容器ID

查看主機(jī)CPU信息

lscpu

查看主機(jī)磁盤信息

lsblk

這些命令可以直接在終端中執(zhí)行，用于監(jiān)控和管理Docker容器以及主機(jī)的資源使用情況。

5.3 資源清理命令

以下是實(shí)現(xiàn)一鍵清理Docker無用資源的代碼片段，可直接復(fù)制執(zhí)行：

清理無用資源

docker system prune -af

清理無用卷

docker volume prune -f

刪除所有停止的容器

docker rm -f $(docker ps -a -q)

這三條命令的功能說明：

• docker system prune -af 強(qiáng)制刪除所有未使用的鏡像、容器、網(wǎng)絡(luò)和緩存
• docker volume prune -f 強(qiáng)制刪除所有未被容器引用的數(shù)據(jù)卷
• docker rm -f $(docker ps -a -q) 強(qiáng)制刪除所有已停止的容器（包括未運(yùn)行的容器）

注意事項(xiàng)：

• 執(zhí)行前確保沒有重要數(shù)據(jù)依賴未運(yùn)行的容器
• 生產(chǎn)環(huán)境建議先確認(rèn)清理列表：docker system prune --dry-run
• 該操作不可逆，會永久刪除數(shù)據(jù)

六、常見陷阱與建議

6.1 常見陷阱

• 陷阱1：忽略虛擬內(nèi)存配置：僅設(shè)置 -m 不設(shè)置 --memory-swap，容器可能因使用過多交換分區(qū)導(dǎo)致性能下降（交換分區(qū)速度遠(yuǎn)低于物理內(nèi)存）。
• 陷阱2：權(quán)重參數(shù)誤當(dāng)絕對限制：CPU、IO權(quán)重僅在資源競爭時生效，無法保障容器最低資源，若需固定資源上限，需結(jié)合 --cpus、--device-write-bps 等參數(shù)。
• 陷阱3：容器日志無限制增長：默認(rèn)日志驅(qū)動無大小限制，長期運(yùn)行的容器日志會占滿磁盤，需提前設(shè)置日志滾動策略。
• 陷阱4：綁定不存在的CPU核心：核心編號從0開始，若綁定超出主機(jī)核心數(shù)的編號，容器無法啟動，需通過 lscpu 確認(rèn)主機(jī)核心信息。

6.2 實(shí)用建議

• 資源限制適度冗余：為容器預(yù)留10%-20%的資源冗余，應(yīng)對突發(fā)流量，避免因資源不足導(dǎo)致容器被終止或業(yè)務(wù)異常。
• 結(jié)合監(jiān)控工具：使用Prometheus+Grafana、Docker Desktop自帶監(jiān)控等工具，實(shí)時監(jiān)控容器資源使用情況，及時調(diào)整限制參數(shù)。
• 多資源協(xié)同限制：核心業(yè)務(wù)容器需同時限制CPU、內(nèi)存、IO資源，避免單一資源過載影響整體穩(wěn)定性。
• 鏡像優(yōu)化減少磁盤占用：使用多階段構(gòu)建、精簡基礎(chǔ)鏡像（如alpine），減小鏡像體積，降低磁盤占用。

總結(jié)

Docker資源限制是容器化部署穩(wěn)定性的核心保障，通過合理配置CPU、內(nèi)存、磁盤IO參數(shù)，可實(shí)現(xiàn)資源的精細(xì)化分配，避免單個容器影響整體系統(tǒng)。同時，定期清理無用資源、規(guī)避常見陷阱、結(jié)合監(jiān)控工具，能進(jìn)一步提升容器集群的運(yùn)維效率。

到此這篇關(guān)于Docker資源(CPU/內(nèi)存/磁盤IO)限制全解析的文章就介紹到這了,更多相關(guān)Docker資源限制內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！