在kubernetes中实施docker容器iops sla差异化控制，需通过pod资源声明→kubelet转译为cgroup v2 io.weight/io.max→节点调度隔离→cgroup层验证闭环实现：高sla设io.weight=900+io.max=rbps=50m，中sla设500+20m，低sla仅设100；配合runtimeclass、节点标签/污点及node-exporter可观测性保障。
在 Kubernetes 环境下对 Docker 容器运行时（实际为 containerd + runc）实施 IOPS 配额的 SLA 差异化控制，不能依赖 Docker 原生命令（如 --blkio-weight），而需通过 Kubernetes 原生机制与底层 cgroup v2 协同实现——核心路径是：**用 Pod/Container 级别资源限制声明 SLA 意图，由 kubelet 转译为 cgroup v2 的 io.weight/io.max，再结合节点调度策略隔离保障。**
SLA 分级映射到 cgroup v2 IO 控制器参数
Kubernetes 1.25+ 默认启用 cgroup v2，其 io.weight（相对权重，10–1000）和 io.max（绝对带宽上限，如 rbps=10485760）可精准表达 SLA 等级：
-
高 SLA（如订单数据库、实时风控）：设
io.weight=900+io.max=rbps=50m，确保争用时优先获得带宽，且不突破物理盘能力上限 -
中 SLA（如 API 网关、缓存服务）：设
io.weight=500+io.max=rbps=20m，保留基础保障但允许弹性让出 -
低 SLA（如日志采集、离线报表）：仅设
io.weight=100，不配io.max，系统压力下自动降级，避免拖累关键路径
在 Pod 中声明 IOPS SLA 约束
Kubernetes 不直接暴露 io.weight 字段，需通过 RuntimeClass + feature gate 启用底层支持，并在容器资源限制中注入：
- 启用
SupportPodPidsLimit和NodeInPlaceUpdate（K8s 1.34+ 推荐） - 创建 RuntimeClass 指定支持 cgroup v2 io 控制器：
handler: acr-sla（指向国产化 ACR 或定制 containerd 配置） - 在容器
resources.limits中添加扩展字段（需 containerd 配置开启enable-criu和enable-io-weight）：example.com/io-weight: "900"example.com/io-max-read: "52428800"
配合节点亲和性与污点实现 SLA 隔离调度
仅靠单容器配额无法防止跨 Pod 干扰，必须从节点维度收敛：
- 为高 SLA 节点打标签：
node-role.kubernetes.io/sla-high=true，并添加污点：sla-level=high:NoSchedule - 在高 SLA Pod 的
spec.affinity中绑定：nodeAffinity匹配标签 +tolerations容忍对应污点 - 中/低 SLA 节点使用不同标签（如
sla-medium）和容忍组合，避免混部导致 IOPS 抢占
验证与可观测性闭环
SLA 控制是否生效，需穿透到 cgroup 层验证：
- 进入目标节点，查 Pod 对应的 cgroup 路径：
cat /sys/fs/cgroup/io.weight（确认值为 900）cat /sys/fs/cgroup/io.max（确认含 rbps=50m） - 部署
node-exporter并启用cgroup_iometrics，监控container_io_weight和container_io_rbps_maximum - 当某节点连续 3 次出现高 SLA Pod IOPS 实际值低于承诺值 80%，触发告警并自动调用
kubectl cordon临时隔离该节点
