我们通过 Linux 的命名空间为新创建的进程隔离了文件系统、网络并与宿主机器之间的进程相互隔离，但是命名空间并不能够为我们提供物理资源上的隔离，比如 CPU 或者内存，如果在同一台机器上运行了多个对彼此以及宿主机器一无所知的『容器』，这些容器却共同占用了宿主机器的物理资源。
Cgroups 是 control groups 的缩写，是 Linux 内核提供的一种可以限制、记录、隔离进程组（process groups）所使用的物理资源（如：cpu,memory,IO 等等）的机制。最初由 google 的工程师提出，后来被整合进 Linux 内核。Cgroups 也是 LXC 为实现虚拟化所使用的资源管理手段，可以说没有 cgroups 就没有 LXC。
Cgroup 是 Linux kernel 的一项功能：它是在一个系统中运行的层级制进程组，你可对其进行资源分配（如 CPU 时间、系统内存、网络带宽或者这些资源的组合）。通过使用 cgroup，系统管理员在分配、排序、拒绝、管理和监控系统资源等方面，可以进行精细化控制。硬件资源可以在应用程序和用户间智能分配，从而增加整体效率。
监控 Docker 容器指标对于理解容器的性能和健康情况至关重要。OpenTelemetry Collector 可以收集 Docker 容器指标，并将其发送到您选择的后端。在本教程中，您将安装一个 OpenTelemetry Collector 来收集 Docker 容器指标，并将其发送到 SigNoz，这是一个用于监控和可视化的 OpenTelemetry 原生 APM。
Namespace是用來實現進程之間的隔離,但是并没有限制其空间的大小。如果想要限制一个进程可以使用的空间，保证各个进程之间不会互相争抢就要用到 Cgroups。
Linux 命名空间是一种隔离机制，允许将全局系统资源划分为多个独立的、相互隔离的部分，使得在不同的命名空间中运行的进程感知不到其他命名空间的存在。从而实现了对进程、网络、文件系统、IPC（进程间通信）等资源的隔离，减少了潜在的安全风险。例如，在容器中运行应用程序可以避免对主机系统的直接影响，从而提高了系统的安全性。
目前我们所提到的容器技术、虚拟化技术（不论何种抽象层次下的虚拟化技术）都能做到资源层面上的隔离和限制。
接触过docker的同学多多少少听过这样一句话“docker容器通过linux namespace、cgroup特性实现资源的隔离与限制”。今天我们来尝试学习一下这两个东西。
不必太纠结于当下，也不必太忧虑未来，当你经历过一些事情的时候，眼前的风景已经和从前不一样了。——村上春树
cgroup是Linux内核允许将流程组织为分层的功能，然后可以限制其使用各种类型资源的组并进行监控。内核的cgroup接口通过伪文件系统，称为cgroupfs。分组在核心cgroup内核代码，而资源跟踪和限制是在一组每个资源类型的子系统（内存，CPU，等等）。
上面是说的cgroups 是内核提供的功能，但现在我们在用户空间想使用的是cgroup的功能。其原理是：linux 内核有一个很强大的模块叫做VFS(vritual File System)，VFS 把具体的文件系统的细节隐藏起来，给用户态进程提供一个完备的文件系统API接口。linux 也是通过VFS 把cgroups 功能暴漏给用户态进程的，cgroups 与VFS 之间的衔接部分叫做cgroups 文件系统。
cgroups（control groups，控制组群） 是 Linux 内核的一个功能，用来限制、控制与分离一个进程组的资源（如CPU、内存、磁盘输入输出等）。它是由 Google 的两位工程师进行开发的，自 2008 年 1 月正式发布的 Linux 内核 v2.6.24 开始提供此能力。cgroups到目前为止，有两个大版本， 即 v1 和 v2 。
Linux Namespace是Linux提供的一种内核级别环境隔离的方法。很早以前的Unix有一个叫chroot的系统调用（通过修改根目录把用户jail到一个特定目录下），chroot提供了一种简单的隔离模式：chroot内部的文件系统无法访问外部的内容。Linux Namespace在此基础上，提供了对UTS、IPC、mount、PID、network、User等系统资源的隔离机制。在此机制下，这些系统资源不再是全局性的，而是属于特定的Namespace。每个Namespace里面的资源对其他Namespace都是透明的。要创建新的Namespace，只需要在调用clone时指定相应的flag。Linux Namespaces机制为实现基于容器的虚拟化技术提供了很好的基础，LXC（Linux containers）就是利用这一特性实现了资源的隔离。不同container内的进程属于不同的Namespace，彼此透明，互不干扰。
Docker 是一个开源的应用容器引擎，基于 Go 语言 并遵从Apache2.0协议开源。
微服务从传统虚拟机迁移到在 Kubernetes 上运行的 Docker 容器是大势所趋。Docker 容器是完整的可交付软件包和依赖项，通常可以被认为是轻量级虚拟机。虽然这可能是一个非常方便的简化，但了解容器是如何使用 Linux 控制组 (cgroup) 和命名空间实现的很重要。了解这些特性和限制有助于我们提高服务的性能，尤其是在性能压力较大的情况下。
开始使用cgroup前需要先挂载cgroup树，下面先看看如何挂载一颗cgroup树，然后再查看其根目录下生成的文件。
cgroups（全称：control groups）是 Linux 内核的一个功能，它可以实现限制进程或者进程组的资源（如 CPU、内存、磁盘 IO 等）。
我所渴求的，無非是將心中脫穎語出的本性付諸生活，為何竟如此艱難呢 -----赫尔曼·黑塞《德米安》
本文针对大数据平台中资源控制这个层面来详细介绍资源控制在不同操作系统上的具体技术实现，以及大数据平台和资源控制的集成。
内核中对于每个子系统的的条目数是有限制的，限制的大小定义在kernel/cgroup.c#L139。
Linux之父曾说过read the fucking source code。在学习linux的过程中，我觉得read the fucking document也非常的重要，今天又花了几个小时的时间，翻译了一下blkio-controller.txt，对cgroup如何控制IO有了大概的一个了解，当然有些细节还需要进一步的验证，我会继续努力。
Control Groups提供了一种机制，可以把task以及他们的子task聚集或者分组成带有特定行为的hierarchical groups。
cgroup 与组调度 linux内核实现了control group功能（cgroup，since linux 2.6.24），可以支持将进程分组，然后按组来划分各种资源。比如：group-1拥有30%的CPU和50%的磁盘IO、group-2拥有10%的CPU和20%的磁盘IO、等等。具体参阅cgroup相关文章。 cgroup支持很多种资源的划分，CPU资源就是其中之一，这就引出了组调度。 linux内核中，传统的调度程序是基于进程来调度的（参阅《Linux 进程调度浅析》）。假设用户A和B共用一台机
我们在生产环境中经常可以发现有计算密集型任务争用NodeManager的CPU，以及个别Container消耗太多CPU资源导致其他系统服务抖动的情况。好在Hadoop 2.2版本之后，YARN通过利用Linux系统的cgroup机制支持了CPU资源隔离。本文先简单看看cgroup，然后分析一下YARN的CPU资源隔离的方案。
本文是我几个月前在研究linux kernel Cgroups时整理的。文中大部分的理论知识是从网上各种贴子solo的，源码分析部分，我是基于kernel 4.4.19的代码进行解读分析的，各个内核版本之间应该几乎没啥差别。了解内核中Cgroups的知识，对理解docker底层原理还是有帮助的。 ##介绍 Cgroups是control groups的缩写，是Linux内核提供的一种可以限制、记录、隔离进程组（process groups）所使用的物理资源（如：cpu,memory,IO等等）的机制。 ##
在Linux里，一直以来就有对进程进行分组的概念和需求，比如session group， progress group等，后来随着人们对这方面的需求越来越多，比如需要追踪一组进程的内存和IO使用情况等，于是出现了cgroup，用来统一将进程进行分组，并在分组的基础上对进程进行监控和资源控制管理等。
通过前面的学习，我们基本掌握了Docker的配置使用，现在我们以 Docker 基础架构来探究Docke底层的核心技术，简单的包括:
「 不加思考地滥读或无休止地读书,所读过的东西无法刻骨铭心,其大部分终将消失殆尽。——叔本华」
内核使用cgroup对进程进行分组，并限制进程资源和对进程进行跟踪。内核通过名为cgroupfs类型的虚拟文件系统来提供cgroup功能接口。cgroup有如下2个概念:
https://docs.docker.com/engine/security/userns-remap/#prerequisites
在文章中，我们提到了 Linux 用来管理和限制 Linux 进程组资源使用的 CGroup 机制。本文我们就来详细介绍一下。
Docker实现原理：https://zone.huoxian.cn/d/1034-docker
cgroups是Linux下控制一个（或一组）进程的资源限制机制，全称是control groups，可以对cpu、内存等资源做精细化控制，比如目前很多的Docker在Linux下就是基于cgroups提供的资源限制机制来实现资源控制的；除此之外，开发者也可以指直接基于cgroups来进行进程资源控制，比如8核的机器上部署了一个web服务和一个计算服务，可以让web服务仅可使用其中6个核，把剩下的两个核留给计算服务。cgroups cpu限制除了可以限制使用多少/哪几个核心之外，还可以设置cpu占用比（注意占用比是各自都跑满情况下的使用比例，如果一个cgroup空闲而另一个繁忙，那么繁忙的cgroup是有可能占满整个cpu核心的）。
传统虚拟化技术与容器技术对比 1、传统的虚拟化技术 传统的虚拟化技术会在已有主机的基础上创建多个虚拟主机，然后在每个虚拟主机上安装独立的操作系统，并由虚拟主机的内核空间和用户空间来运行应用程序
一般来说，在操作系统中会运行多个进程（几个到几千个不等），但一台计算机的 CPU 资源是有限的，如 8 核的 CPU 只能同时运行 8 个进程。那么当进程数大于 CPU 核心数时，操作系统是如何同时运行这些进程的呢？
以前一直在使用Docker来封装并限制容器资源，从而实现限制进程资源的目的。但Linux Docker底层是基于cgroup来实现的，于是乎今天就想起来试试直接使用cgroup来限制进程资源。
在日常使用 K8s 时，难免遇到 Node 上资源紧张导致节点中的 Pod 被 OOMKill 掉的情况，哪些 Pod 会被 kill 呢？又是根据什么评判标准来确定的优先级呢？
在开始使用 Kubernetes 时，社区教给我们的第一件事就是始终为我们 pod 中的每个容器设置 CPU 和内存的请求和限制。
Linux cgroups 的全称是 Linux Control Groups，它是 Linux 内核的特性，主要作用是限制、记录和隔离进程组（process groups）使用的物理资源（cpu、memory、IO 等）。2006 的时候，Google 的一些工程师（主要是 Paul Menage 和 Rohit Seth）启动了这个项目，最初的名字叫 process containers。因为 container 在内核中名字有歧义，2007 的时候改名为 control groups，并合并到 2008 年发布的 2.6.24 内核版本。最初 cgroups 的版本被称为 v1，这个版本的 cgroups 设计并不友好，理解起来非常困难。后续的开发工作由 Tejun Heo 接管，他重新设计并重写了 cgroups，新版本被称为 v2，并首次出现在 kernel 4.5 版本。
tc(Traffic Control) 是linux系统中常用的来控制传输速率、模拟网络延时丢包等场景的工具，tc命令有三个主要的概念，是qdisc、class和filter，qdisc又分为classless qdisc和classful qdisc，在控制传输速度的方面大致有两种用法
在Linux中我们可以使用ll或者ls –l命令来显示一个文件的属性以及文件所属的用户和组，如：
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
