2核8G内存环境下Docker容器间如何做资源隔离？

在 2 核 8G 内存的有限资源环境下，Docker 容器间的资源隔离主要依赖 Cgroups（控制组） 和 Namespaces 机制。通过合理配置 CPU 和内存限制，可以防止单个容器耗尽资源导致其他服务不可用。以下是具体实施策略：

一、核心隔离机制

1. CPU 隔离

   • 使用 --cpus 或 --cpu-shares 限制容器可使用的 CPU 时间片。
   • 示例：将 2 核均分给两个关键容器（各占 0.9 核，预留 0.2 给宿主机）：

     docker run --cpus=0.9 --memory=3g --name app1 your-image
     docker run --cpus=0.9 --memory=3g --name app2 your-image

2. 内存隔离

   • 通过 --memory 和 --memory-swap 严格限制内存上限，避免 OOM（内存溢出）。
   • 建议设置 --memory-swap=-1（禁用 swap）或设为略高于 --memory 的值，防止容器因交换到磁盘而性能骤降。

     # 每个容器最大 3GB 内存，不启用 swap
     docker run --memory=3g --memory-swap=-1 ...

3. I/O 与网络隔离

   • I/O 限速：使用 --device-read-bps / --device-write-bps 限制磁盘读写速度。
   • 网络带宽：通过 tc（Traffic Control）或 Docker 的 --network-driver 配合插件实现流量整形。

二、生产环境最佳实践

• 资源预留原则
  总分配资源 ≤ 物理资源的 85%（例如：CPU 总和 ≤ 1.7 核，内存总和 ≤ 6.8GB），为系统进程和突发负载留出缓冲。

• 监控与告警
  部署 Prometheus + cAdvisor 实时监控容器资源使用情况，对接近限制的容器触发告警：

  # docker-compose.yml 示例
  version: '3'
  services:
  app1:
    cpus: 0.9
    mem_limit: 3g
    deploy:
      resources:
        limits:
          memory: 3g
          cpus: '0.9'

• 优雅降级策略
  对于非核心服务，可设置 --memory-reserve 或动态调整资源（结合 Kubernetes HPA 或手动脚本）。

三、验证隔离效果

# 查看容器实际资源占用
docker stats app1

# 检查是否触发 OOM
dmesg | grep -i "out of memory"

# 确认 Cgroups 限制生效
cat /sys/fs/cgroup/cpu/docker/<container-id>/cpu.cfs_quota_us

💡 注意：2 核 8G 属于低配环境，若业务复杂度较高，建议优先保证核心服务的资源配额，非核心服务采用弹性伸缩或排队等待机制。