核心是用systemd slice构建租户级cgroup边界，通过cpuquota和memorymax设硬限额，并以--cgroup-parent=tenant-a.slice启动容器，确保多实例共享总量封顶；须配合userns-remap、网络与pid命名空间实现全维度隔离。
在微服务生产环境中，用 Docker 的 cgroup 隔离策略优化多租户资源分配，核心是把“租户”作为资源控制单元，而不是单个容器。这样能防止同一租户下多个服务实例抱团突破配额，保障租户间公平性与系统稳定性。
用 systemd slice 构建租户级资源边界
推荐在使用 systemd 的宿主机上创建 tenant-a.slice 这类租户切片，它天然支持 cgroup v2 层级结构，配置持久、重启不丢失：
- 新建 /etc/systemd/system/tenant-a.slice，写入 CPU 和内存硬限制（如 CPUQuota=300%、MemoryMax=6G）
- 执行 systemctl daemon-reload && systemctl start tenant-a.slice
- 所有属于该租户的微服务容器统一加 --cgroup-parent=tenant-a.slice 启动
避免单容器参数带来的配额漏洞
只对每个容器设 --cpus=1 --memory=2g 是不够的。若租户启动 5 个容器，总上限就变成 5 核 + 10G，远超预期。而通过父级 cgroup 控制：
- 容器进程自动归入 slice 下的统一 cgroup 路径（如 /sys/fs/cgroup/tenant-a.slice/docker-xxx.scope/）
- 内核按 slice 级别统计和限流，CPU 和内存总量不会突破设定值
- 即使容器内部 fork 大量子进程，也仍在租户配额内受控
验证与持续监控关键点
上线后必须确认隔离真实生效，不能只看启动参数：
- 查容器实际归属：cat /proc/
/cgroup | grep tenant-a - 看实时用量：systemctl status tenant-a.slice（显示 CPU 和 memory.current）
- 结合 docker stats --no-stream 对比单容器 vs 租户整体水位，识别异常倾斜
配合命名空间增强租户安全边界
cgroup 解决资源争抢，命名空间解决越权访问。建议同步启用：
- 用户命名空间（--userns-remap），让租户容器内 root 映射为主机普通 UID
- 网络命名空间隔离（默认开启），禁止跨租户直接通信
- PID 命名空间确保租户容器看不到彼此进程，降低信息泄露风险
