默认情况下，容器没有资源约束，并且可以使用主机内核调度器允许的给定资源的多少。Docker提供了控制容器可以使用多少内存、CPU或块IO的方法，并设置docker run命令。本节详细介绍了何时设置这些限制以及设置这些限制可能带来的影响。

记忆

了解内存不足的风险

重要的是不要让正在运行的容器占用主机的太多内存。在linux主机上，如果内核检测到没有足够的内存来执行重要的系统功能，则会抛出OOME，或Out Of Memory Exception，并开始销毁进程以释放内存。任何程序都可能被杀死，包括Docker和其他重要的应用程序。如果错误的过程被扼杀，这将有效地降低整个系统。

Docker试图通过调整Docker守护进程上的OOM优先级来降低这些风险，这样它就不会比系统上的其他进程被杀死的可能性更小。不调整容器的OOM优先级。这使得单个容器更有可能被杀死，而不是Docker守护进程或其他系统进程被杀死。您不应该试图通过手动设置来规避这些安全措施。--oom-score-adj在守护进程或容器上，或通过设置--oom-disable-kill在集装箱上。

有关Linux内核的OOM管理的更多信息，请参阅内存不足管理。

您可以通过以下方法减少由于OOME而导致的系统不稳定风险：

• 在将应用程序投入生产之前，执行测试以了解应用程序的内存需求。

• 确保您的应用程序仅在资源充足的主机上运行。

• 限制容器可以使用的内存量，如下所述。

• 在您的Docker主机上配置交换时要注意。交换比内存慢，性能差，但可以提供缓冲，防止系统内存不足。

• 考虑将容器转换为服务，并使用服务级约束和节点标签确保应用程序仅在内存充足的主机上运行。

限制容器对内存的访问

Docker可以强制执行硬内存限制，这允许容器使用不超过给定数量的用户或系统内存，或者软限制，允许容器使用它所需要的内存，除非满足某些条件。例如，当内核检测到主机上的低内存或争用时。当单独使用或设置多个选项时，这些选项中的一些具有不同的效果。

大部分的选项取正整数，跟着一个后缀b，k，m，g，，表示字节，千字节，兆字节或千兆字节。

有关cgroup和内存的详细信息，请参阅内存资源控制器...

--memory-swap细节

--memory-swap是一个修饰符标志，它只有在以下情况下才有意义：--memory也设置好了。当容器耗尽了可用的所有RAM时，使用交换空间允许容器将多余的内存需求写入磁盘。对于经常将内存交换到磁盘的应用程序，存在性能损失。

它的设置可能会产生复杂的影响：

• 如果--memory-swap设置为正整数，则两者均为--memory和--memory-swap必须设置好。--memory-swap表示可以使用的内存和交换空间的总量，以及--memory控制非交换内存使用的数量。所以如果--memory="300m"和--memory-swap="1g"，该容器可使用300 m内存和700 m%28。1g - 300m%29掉期

• 如果--memory-swap设置为0，则忽略该设置，并将该值视为未设置。

• 如果--memory-swap设置为与--memory，和--memory被设置为正整数，容器将无法访问交换。.见防止容器使用交换...

• 如果--memory-swap是未设置的，而且--memory设置后，容器可以使用的交换空间是--memory设置，如果主机容器已配置了交换内存。例如，如果--memory="300m"和--memory-swap如果没有设置，容器可以使用300米内存和600米交换。

• 如果--memory-swap显式设置为-1，容器可以使用无限交换，最多可在主机系统上使用。防止容器使用交换如果--memory和--memory-swap设置为相同的值，这将防止容器使用任何交换。这是因为--memory-swap是可以使用的组合内存和交换空间的数量，而--memory仅为可使用的物理内存量。--memory-swappiness细节

• 值0关闭匿名页交换。

• 值100将所有匿名页面设置为可交换。

• 默认情况下，如果不设置--memory-swappiness，则从主机继承该值。

--kernel-memory细节

内核内存限制以分配给容器的总体内存表示。考虑以下情况：

• 无限内存，无限内核内存这是默认行为。

• 无限内存，有限内核内存当所有cgroup所需的内存量大于主机上实际存在的内存量时，这是适当的。您可以将内核内存配置为永远不要检查主机上可用的内容，需要更多内存的容器需要等待。

• 有限内存，无限制内核内存：总体内存是有限的，但是内核内存不是。

• 有限内存，有限内核内存限制用户和内核内存对于调试与内存相关的问题非常有用。如果容器使用的内存类型都是意外的，那么它将耗尽内存，而不会影响其他容器或主机。在此设置中，如果内核内存限制低于用户内存限制，内核内存不足将导致容器遇到OOM错误。如果内核内存限制高于用户内存限制，内核限制将不会导致容器体验OOM。

当您打开任何内核内存限制时，主机会在每个进程的基础上跟踪“高水标记”统计数据，这样您就可以跟踪哪个进程%28--在这种情况下，容器%29使用的是多余内存。这可以通过查看每个进程来查看。/proc/<PID>/status在主机上。

cpu

默认情况下，每个容器对主机CPU周期的访问是无限的。您可以设置各种约束来限制给定容器对主机CPU周期的访问。大多数用户将使用和配置默认CFS调度程序.在Docker 1.13及更高版本中，还可以配置实时调度器...

配置默认的cfs调度程序

CFS是用于正常Linux进程的Linux内核CPU调度程序。几个运行时标志允许您配置容器对CPU资源的访问量。使用这些设置时，Docker将修改主机上容器的cgroup设置。

如果您有一个CPU，下面的每条命令将保证容器最多每秒占CPU的50%。

码头1.13及以上*

docker run -it --cpus=".5" ubuntu /bin/bash

码头1.12及以下*

$ docker run -it --cpu-period=100000 --cpu-quota=50000 ubuntu /bin/bash

配置实时调度程序

在Docker 1.13及更高版本中，可以将容器配置为使用实时调度程序，以处理无法使用cfs调度程序的任务。你需要确保主机的内核配置正确在你可以之前配置Docker守护进程或配置单个容器...

警告CPU调度和优先级是高级内核级特性.。大多数用户不需要从默认值中更改这些值。不正确地设置这些值会导致主机系统变得不稳定或无法使用。

配置主机的内核

核实CONFIG_RT_GROUP_SCHED在linux内核中通过运行zcat /proc/config.gz | grep CONFIG_RT_GROUP_SCHED或者通过检查文件的存在/sys/fs/cgroup/cpu.rt_runtime_us有关配置内核实时调度程序的指导，请参阅操作系统的文档。

配置Docker守护进程

若要使用实时调度程序运行容器，请使用--cpu-rt-runtime标志设置为每个运行时期间为实时任务保留的最大微秒数。例如，默认周期为10000微秒%281秒%29，设置--cpu-rt-runtime=95000确保使用实时调度程序的容器每10000微秒可以运行95000微秒，为非实时任务留出至少5000微秒。使此配置在使用systemd，见用system d控制和配置Docker...

配置单个容器

在启动容器时，可以传递几个标志来控制容器的CPU优先级。docker run查阅您的操作系统文档或ulimit命令获取有关适当值的信息。

下面的示例命令设置debian:jessie集装箱。

$ docker run --it --cpu-rt-runtime=95000 \                  --ulimit rtprio=99 \                  --cap-add=sys_nice \
                  debian:jessie

如果内核或Docker守护进程配置不正确，就会发生错误。