容器资源限制与性能优化需通过cgroups v2、docker cli、内核i/o调优、cpu隔离及监控动态调优五步实现：统一管控cpu/内存、设置合理硬限与软限、优化i/o调度与脏页策略、隔离cpu核心并关闭干扰特性、结合docker stats/cadvisor实时采集指标并自动扩容。
如果您在运行 linux 容器时发现应用响应迟缓、内存溢出或 CPU 占用异常，很可能是容器未设置合理的资源限制，或现有配置未能匹配实际负载需求。以下是针对资源限制与性能优化的具体操作方法：
一、使用 cgroups v2 限制 CPU 和内存
cgroups v2 提供统一、层级化的资源控制接口，可精确约束容器的 CPU 时间配额与内存上限，避免单个容器耗尽宿主机资源。
1、确认系统启用 cgroups v2：执行 mount | grep cgroup，输出中应包含 cgroup2 on /sys/fs/cgroup type cgroup2。
2、为容器创建专用 cgroup 子树：运行 sudo mkdir -p /sys/fs/cgroup/container-app。
3、设置 CPU 配额：执行 echo 50000 | sudo tee /sys/fs/cgroup/container-app/cpu.max（表示每 100ms 最多使用 50ms CPU 时间）。
4、设置内存上限：执行 echo 536870912 | sudo tee /sys/fs/cgroup/container-app/memory.max（即 512MB）。
5、将容器进程加入该 cgroup：获取容器主进程 PID 后，执行 echo [PID] | sudo tee /sys/fs/cgroup/container-app/cgroup.procs。
二、通过 Docker CLI 应用资源限制
Docker 在启动时可直接传递 cgroups 参数，无需手动挂载，适用于快速部署场景且兼容性高。
1、限制 CPU 核心数：运行 docker run –cpus=1.5 nginx，限定最多使用 1.5 个逻辑 CPU 核心。
2、限制内存硬上限：运行 docker run –memory=768m –memory-swap=768m nginx，禁止使用 swap，总内存不超过 768MB。
3、设置内存预留与软限制：运行 docker run –memory-reservation=256m –memory=1g nginx，保障最低 256MB 可用，但硬上限为 1GB。
4、绑定 CPU 亲和性：运行 docker run –cpuset-cpus=”0-1″ nginx，强制容器仅在 CPU 0 和 CPU 1 上调度。
三、调整内核参数优化 I/O 性能
容器共享宿主机内核，某些默认 I/O 调度策略和缓冲区设置会加剧延迟，尤其在高并发磁盘读写场景下。
1、查看当前 I/O 调度器：执行 cat /sys/block/[device]/queue/scheduler（如 device 为 sda）。
2、临时切换为 mq-deadline 调度器：运行 echo mq-deadline | sudo tee /sys/block/[device]/queue/scheduler。
3、降低脏页刷新阈值：执行 echo 10 | sudo tee /proc/sys/vm/dirty_ratio 和 echo 5 | sudo tee /proc/sys/vm/dirty_background_ratio，加快脏页回写频率。
4、禁用透明大页（THP）：运行 echo never | sudo tee /sys/kernel/mm/transparent_hugepage/enabled，防止内存碎片与延迟尖峰。
四、启用 CPU 隔离并禁用非必要内核特性
CPU 隔离可确保容器独占指定核心，消除上下文切换干扰；关闭非必要内核服务可减少中断和调度开销。
1、启动时隔离 CPU：在 GRUB 配置中添加内核参数 isolcpus=managed_irq,domain,1,2,3,4 nohz_full=1,2,3,4 rcu_nocbs=1,2,3,4，然后更新 GRUB 并重启。
2、将容器绑定至隔离 CPU：使用 taskset -c 1-4 docker run … 启动容器，确保其仅在 CPU 1–4 运行。
3、禁用 NUMA 平衡：运行 echo 0 | sudo tee /proc/sys/kernel/numa_balancing，避免跨节点内存迁移开销。
4、关闭 kswapd 内存回收线程（仅限内存充足且静态分配场景）：执行 echo 0 | sudo tee /proc/sys/vm/swappiness。
五、监控与动态调优容器资源使用
实时采集指标可识别资源瓶颈点，支撑按需调整限制值，避免过度限制导致性能下降或限制不足引发争抢。
1、获取容器实时资源数据：运行 docker stats –no-stream [container_id]，查看 CPU%、MEM USAGE / LIMIT、NET I/O 等字段。
2、读取底层 cgroup 统计文件：访问 /sys/fs/cgroup/[path]/cpu.stat 获取 CPU 使用微秒数，或 /sys/fs/cgroup/[path]/memory.current 获取当前内存占用字节数。
3、使用 prometheus + cAdvisor 抓取指标：部署 cAdvisor 容器并映射 -v /:/rootfs:ro -v /var/run:/var/run:rw，通过 http 接口暴露容器级 metrics。
4、基于指标触发自动调整：编写脚本定期检查 memory.max_usage_in_bytes，若连续三次超过限额 90%，则调用 echo [new_value] > memory.max 动态扩容。