K8s: 在Pod里面对容器进行配额管理和相关原理

ops/2024/9/25 10:32:07/

Pod里面对容器进行配额管理

  • 在生产环境中,内存占用通常很大,如果里面有死循环,会导致内存和cpu过大导致影响其他pod运行资源

  • 需要让资源在受控的环境下运行,一般都是加上 resources limits 的配置才能达到最佳实践

  • 默认cpu是0.5个cpu, 一般定义的时候参数是最高的门槛,不会超过这个设置

  • 创建一个命名空间,以便将 本练习中创建的资源与集群的其余部分资源隔离

    • $ kubectl create namespace cpu-stress
  • 创建 cpu-limit.yaml

    apiVersion: v1
    kind: Pod
    metadata:name: cpu-stress-demonamespace: cpu-stresslabels:name: cpu-stress-demo
    spec:containers:- name: nginx-stressimage: registry.cn-beijing.aliyuncs.com/qingfeng666/stressargs:- -cpus- "2"  # 指定使用2个CPU核心进行压力测试resources:limits:cpu: "1"  # 设置CPU上限为1个核心requests:cpu: "0.5"  # 设置CPU请求为0.5个核心(可选,根据集群策略设置)restartPolicy: Never  # 设置重启策略为Never,因为这是一个一次性任务
    
  • $ kubectl create -f cpu-limit.yaml

    pod/cpu-stress-demo created
    
  • $ kubectl get po -n cpu-stress -w

    NAME              READY   STATUS    RESTARTS   AGE
    cpu-stress-demo   1/1     Running   0          7s
    
  • $ kubectl get po cpu-stress-demo -n cpu-stress -o yaml

    apiVersion: v1
    items:
    - apiVersion: v1kind: Podmetadata:creationTimestamp: "2024-04-18T22:34:13Z"labels:name: cpu-stress-demoname: cpu-stress-demonamespace: cpu-stressresourceVersion: "81301"uid: f423a147-4bac-4f82-a791-0e851d67366cspec:containers:- args:- -cpus- "2"image: registry.cn-beijing.aliyuncs.com/qingfeng666/stressimagePullPolicy: Alwaysname: nginx-stressresources:limits:cpu: "1"requests:cpu: 500mterminationMessagePath: /dev/termination-logterminationMessagePolicy: FilevolumeMounts:- mountPath: /var/run/secrets/kubernetes.io/serviceaccountname: kube-api-access-mg68jreadOnly: truednsPolicy: ClusterFirstenableServiceLinks: truenodeName: node2.k8spreemptionPolicy: PreemptLowerPrioritypriority: 0restartPolicy: NeverschedulerName: default-schedulersecurityContext: {}serviceAccount: defaultserviceAccountName: defaultterminationGracePeriodSeconds: 30tolerations:- effect: NoExecutekey: node.kubernetes.io/not-readyoperator: ExiststolerationSeconds: 300- effect: NoExecutekey: node.kubernetes.io/unreachableoperator: ExiststolerationSeconds: 300volumes:- name: kube-api-access-mg68jprojected:defaultMode: 420sources:- serviceAccountToken:expirationSeconds: 3607path: token- configMap:items:- key: ca.crtpath: ca.crtname: kube-root-ca.crt- downwardAPI:items:- fieldRef:apiVersion: v1fieldPath: metadata.namespacepath: namespacestatus:conditions:- lastProbeTime: nulllastTransitionTime: "2024-04-18T22:34:13Z"status: "True"type: Initialized- lastProbeTime: nulllastTransitionTime: "2024-04-18T22:34:16Z"status: "True"type: Ready- lastProbeTime: nulllastTransitionTime: "2024-04-18T22:34:16Z"status: "True"type: ContainersReady- lastProbeTime: nulllastTransitionTime: "2024-04-18T22:34:13Z"status: "True"type: PodScheduledcontainerStatuses:- containerID: docker://12668f59353306dda08a395bf7dd36c0eae699b0ed1350ec96b8ffc3705b6a5eimage: registry.cn-beijing.aliyuncs.com/qingfeng666/stress:latestimageID: docker-pullable://registry.cn-beijing.aliyuncs.com/qingfeng666/stress@sha256:155d7266cb7ed6fecd34b2e4f8a25c2b21eb77723658fb4ab2db630d41118c7dlastState: {}name: nginx-stressready: truerestartCount: 0started: truestate:running:startedAt: "2024-04-18T22:34:15Z"hostIP: 10.211.55.12phase: RunningpodIP: 10.244.2.12podIPs:- ip: 10.244.2.12qosClass: BurstablestartTime: "2024-04-18T22:34:13Z"
    kind: List
    metadata:resourceVersion: ""selfLink: ""
    
    • 从上面可以看到,没有超过1核,限制成功了

相关原理


1 )Docker namespace 隔离

  • 虚拟机的隔离是非常彻底的,但是成本也是极大的
  • docker 通过namespace来隔离
  • $ ps aux 查看进程
  • $ unshare --fork --pid --mount--proc bash
  • $ ps aux 这时候再次查看,可以看到只有2个进程了
  • 执行docker容器的时候,和这个类似
  • $ docker run -it busybox
    • 这个busybox 是一个非常小的镜像
    • $ ps aux 可以看到只有2个进程
  • docker和 unshare的效果一模一样

2 )CGroups 实现资源配额

  • CGroups 是 control groups 的意思
  • $ cd /syc/fs/cgroup/cpu
    • 进入到这个目录,新建一个目录
    • $ mkdir cgrous_test
    • $ cd cgrous_test 进去后,发现生成了一堆文件,自动生成的
    • $ cat cpu.cfs_quota_us 发现默认 -1
    • $ echo 20000 > cpu.cfs_quota_us 这里20%的cpu时间
    • $ echo 2754 > tasks
    • $ cat tasks 可看到 2754
    • $ top 查看,就发现从 死循环 100%的占用,变成了20%
    • 这样就可以进行限额处理了
    • $ kill -9 2795 删除之
  • 这个是 docker 进程实现原理
    • $ docker run -it --cpu=".5" nginx /bin/sh 设置cpu配额是 50% cpu
    • 进入中,查看 $ /sys/fs/cgroup/cpu 目录,$ cat cpu.cfs_quota_us
    • 显示 50000 这个就是 .5
    • 就是这个原理
  • 所以,这些配额限制就是调用 cgroups 的原理

http://www.ppmy.cn/ops/8119.html

相关文章

React - 高级用法

React高级用法 Hooks Reducer useReducer: import React, { useReducer, useState } from react;const initialState { count: 0 };function reducer(state, action) {switch (action.type) {case increment:return { count: state.count 1 }case decrement:re…

如何合理利用多个中国大陆小带宽服务器?

我们知道在中国大陆带宽单价非常昂贵,一个1Mbps 带宽的机子一年就得卖好几百人民币,这是不值当的,当然我们可以去低价漂阿里云、腾讯云的轻量服务器,99包年,但是带宽太小很难崩。 所以,我们必须构建一个能够…

【Linux系统编程】第六弹---权限的概念

✨个人主页: 熬夜学编程的小林 💗系列专栏: 【C语言详解】 【数据结构详解】【C详解】【Linux系统编程】 目录 1、什么是权限 2、权限的本质 3、Linux中的用户 4、Linux中文件的权限 4.1、文件访问者的分类(角色) 4.2、文件类型和访问权…

入门产品经理你一定要知道的事(上)

产品(Product)是任何可以让人注意、获取、使用、或能够满足某种消费需求的东西。可以是实体产品、服务、人、组织、地点、思想等。 狭义上产品特指互联网产品,是关于软件、硬件的集合体。本期文章所说的产品是指互联网产品。 产品经理&#…

快速掌握Spring监控(Spring Boot admin)

监控 监控可视化监控平台Admin底层逻辑info 自定义端点 监控 监控的作用: 监控服务状态是否宕机监控服务运行指标(内存,虚拟机,线程,请求等)监控日志管理服务(服务下线) 监控的实…

Qt 6子窗口全屏显示

一、全屏显示效果 二、全屏相关函数 1,全屏显示函数 QWidget::showFullScreen(); // 此方法只对顶级窗口有效,对子窗口无效 2,恢复显示函数 QWidget::showNormal(); // 此方法也只对顶级窗口有效,对子窗口无效 3,最小化显示函…

《深入浅出.NET框架设计与实现》笔记3——程序集和清单

计算机语言按编译特点划分,可分为编译型语言、解释型语言、混合型语言。 编译型语言 是需要通过编译器将源代码编译为机器代码才能执行的高级语言,如C、C解释型语言 不需要预先编译,在执行时逐行编译 。如Javascript、PHP混合型语言 需要先编…

word批量修改表格样式

利用宏,批量选中表格,然后利用段落和表设计来操作。 利用宏,批量选中表格,参考百度安全验证段落,表格里面的内容有空格,应该是有缩进,在段落中去掉缩进,即缩进-特殊,选择…