容器核心技术–CGroup
接上一个小节，我们来试想这样一个场景：
一台宿主机的容器中运行了一个监控服务，但监控服务占用了宿主机全部的 CPU 和内存等资源，导致宿主机上的其他服务和容器都被卡死，无法正常运行。
监控类服务不应占用大量资源，无论是什么原因引起的问题，都不应该影响宿主机的正常使用，否则容器的隔离就没有意义。Namespace 只能做到系统资源维度的隔离，无法做到硬件资源的控制。我们需要使用一种机制 Cgroup，指定容器应用最大占用多少资源。
Linux cgroups 的全称是 Linux Control Groups，它是 Linux 内核的特性，主要作用是限制、记录和隔离进程组（process groups）使用的物理资源（CPU、Memory、IO 等）。
1. CGroup 核心概念
前面说过 CGroup 是用来对进程进行资源管理的，因此 CGroup 需要考虑如何抽象这两种概念：进程和资源，同时如何组织自己的结构。CGroup 机制中有以下几个基本概念：
task：任务，对应于系统中运行的一个实体，下文统称进程；
subsystem：子系统，具体的资源控制器（resource class 或者 resource controller），控制某个特定的资源使用；
cgroup：控制组，一组任务和子系统的关联关系，表示对这些任务进行怎样的资源管理策略；
hierarchy：层级树，由一系列 CGroup 组成的树形结构。每个节点都是一个 CGroup ，CGroup 可以有多个子节点，子节点默认会继承父节点的属性。系统中可以有多个 hierarchy。
Cgroup 机制非常复杂，上面的名词了解就好，学习 Docker 暂时还不需要深入研究它。
在 Linux 环境中，我们可以执行 ls -al /sys/fs/cgroup/ 查看当前系统的 Cgroup：
我们看到目录中有若干个子目录，除了 systemd 目录，其他的一个子目录对应一个子系统，子系统功能如下所示。
| 子系统 | 功能 |
|---|---|
| blkio | 为块设备，如硬盘等设备，设定输入输出限制 |
| cpu | 设置 cgroup 中进程的 CPU 被调度的策略 |
| cpuacct | 统计 cgroup 中进程的 CPU 占用 |
| cpuset | 设置 cgroup 中进程可以使用的 CPU 和内存 |
| devices | 控制 cgroup 中进程对设备的访问 |
| freezer | 挂起或者恢复 cgroup 中的进程 |
| hugetlb | 用于控制 cgroup 中进程的内存占用，这是一个大页文件系统。 |
| memory | 控制 cgroup 中进程的内存占用，并统计内存资源使用情况。 |
| net_cls | 将 cgroup 中进程产生的网络包分类，允许 Linux 流量控制系统识别从具体 cgroup 中生成的数据包。 |
| net_prio | 控制 cgroup 中进程的网络流量的优先级 |
| perf_event | 识别任务的 cgroup 成员，可以用来做性能分析 |
| pids | 限制 cgroup 及其所有子孙 cgroup 里面能创建的总的进程数量 |
| rdma | 限制 RDMA/IB 资源 |
3. 演示：使用 Cgroup 限制进程 CPU 资源占用
在上面的表格中， 你会发现大量出现Cgroup 中的进程这个描述，原因在于我们必须先挂载子系统，将进程纳入 Cgroup 组规则中，然后 Cgroup 机制才能控制这个进程。
我们马上上手尝试一下，先安装stress
sudo dnf install https://download-ib01.fedoraproject.org/pub/epel/7/x86_64/Packages/s/stress-1.0.4-16 .el7.x86_64.rpm
Tips：我们使用stress 的软件进行压力负载测试，stress 会根据设定，执行一系列消耗系统资源的操作，使得系统在一定的负载下运行。
启动一个压力负载测试的进程：
# 产生 1个进程，每个进程都反复不停地计算随机数的平方根stress -c 1 > /dev/null &
使用top 命令查看资源占用情况
图中两个红框从左到右分别代表压力测试的进程号是 1816，CPU 占用百分比 99%，说明压力测试进程正常生效了。
切换到 root 用户：
sudo su - root
进入 /sys/fs/cgroup/cpu 这个目录：
cd /sys/fs/cgroup/cpu
创建一个 Cgroup 组，即在当前目录下创建一个子目录：
mkdir testcpu
进入 testcpu 目录：
cd testcpu
查看 cpu.cfs_period_us 代表时间周期总长度：
cat cpu.cfs_period_us # 100000
将 cpu.cfs_quota_us 设为当前 cgroup 在设置的周期长度内所能使用的 CPU 时间 10000，即总周期100000的 10%：
echo 10000 > cpu.cfs_quota_us
将压力测试的进程添加到 Cgroup 组的规则中，1816 是stress进程 id：
echo 1816 > tasks
top 查看资源占用，发现 stress 进程的 CPU 占用率被压到了 10%，说明 Cgroups 对于 CPU 的控制起了效果。
3. 思考
试想一下，我们将本节限制 CPU 资源的操作对象，从 stress 这个程序，改换成前一节的 container，就获得了一个同时限制了硬件资源和系统资源的容器。
4. 小结
通过本节的介绍，我们对 Cgroup 有了直观的认知。Cgroup 是个非常强大的系统，容器技术需要使用它进行资源的限制，但这不代表着 Cgroup 只能用于容器技术，比如在云服务商的计费系统中，也有它的身影。
或许你会感觉这一节与上一节 Namespace 的内容有些生僻，别担心，我们介绍 Namespace 和 CGroup 的目的不是去精通他们的底层原理和使用方法，而是要真正认识到：容器的本质就是一个特殊的进程。