一、Docker概述

1.1 Docke是什么（简介）

• 是一个开源的应用容器引擎，基于go语言并发并遵循了apache2.0协议开源

• 是在Linux容器里运行应用的开源工具

• 是一种轻量级的“虚拟机”

• Docker的容器技术可以在一台主机上轻松为任何应用创建一个轻量级的、可移植的、自给自足的容器。

• Docker的Logo设计为蓝色鲸鱼，拖着许多集装箱。鲸鱼可看作为宿主机，集装箱可理解为相互隔离的容器，每个集装箱中都包含自己的应用程序（沙箱）。

Docker的设计宗旨：Build，ship and Run Any App， Anywhere；即通过对应用组件的封装、发布、部署、运行等生命周期的管理，达到应用组件级别的”一次封装，到处运行“的目的。这里的组件，既可以是一个应用，也可以是一套服务，甚至是一个完整的操作系统。

二、 Docker与虚拟机的区别

特效	Docker容器	虚拟机
启动速度	秒级	分钟级
计算能力的损耗	几乎无	损耗50%左右
性能	接近原生	弱于
系统支持量（单机）	上千个	几十个
隔离性	资源隔离/限制	完全隔离

2.1 容器在内核中支持2种重要技术

• docker本质就是宿主机的一个进程
• docker是通过namespace实现资源隔离
• docker是通过cgroup实现资源限制
• docker是通过写时复制技术（copy-on-write）实现了高效的文件操作（类似虚拟机的磁盘比如分配500g并不是实际占用物理磁盘500g)

Docker隔离原理

Linux内核提供的一种隔离机制，Docker就是使用内核namespace的隔离机制来实现对应的资源隔离。共有六种隔离：

namespace	系统调用参数	隔离内容
UTS	CLONE_NEWUTS	主机名和域名
IPC	CLONE_NEWIPC	信号量、消息队列、共享内存
PID	CLONE_NEWPID	进程号
Mount	CLONE_NEWNS	文件系统(挂载点)
Network	CLONE_NEWNET	网络设备、网络栈、端口
User	CLONE_NEWUSER	用户和用户组

三、Docker核心概念

镜像

• Docker的镜像是创建容器的基础，类似虚拟机的快照，可以理解为一个面向 Docker容器引擎的只读模板。
• 通过镜像启动一个容器，一个镜像是一个可执行的包，其中包括运行应用程序所需要的所有内容包含代码，运行时间，库、环境变量、和配置文件。
• Docker镜像也是一个压缩包，只是这个压缩包不只是可执行文件，环境部署脚本，它还包含了完整的操作系统。因为大部分的镜像都是基于某个操作系统来构建，所以很轻松的就可以构建本地和远端一样的环境，这也是Docker镜像的精髓。

容器

• Docker的容器是从镜像创建的运行实例，它可以被启动、停止和删除。所创建的每一个容器都是相互隔离、互不可见，以保证平台的安全性。
• 可以把容器看做是一个简易版的linux环境（包括root用户权限、镜像空间、用户空间和网络空间等）和运行在其中的应用程序。

仓库

• Docker仓库是用来集中保存镜像的地方，当创建了自己的镜像之后，可以使用push命令将它上传到公有仓库（Public)或者私有仓库(Private)。当下次要在另外一台机器上使用这个镜像时，只需从仓库获取。
• Docker 的镜像、容器、日志等内容全部都默认存储在/var/lib/docker

四、Docker安装

目前 Docker 只能支持 64 位系统。

YUM安装

1.#关闭防火墙
systemctl stop firewalld.service
setenforce 0

2.#安装依赖包
yum install -y yum-utils device-mapper-persistent-data lvm2
--------------------------------------------------------------------------------
#yum-utils：提供了 yum-config-manager 工具。
#device mapper： 是Linux内核中支持逻辑卷管理的通用设备映射机制，它为实现用于存储资源管理的块设备驱动提供了一个高度模块化的内核架构。
#device mapper存储驱动程序需要 device-mapper-persistent-data 和 lvm2。
--------------------------------------------------------------------------------

3.#设置阿里云镜像源
yum-config-manager --add-repo https://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo

4.#安装 Docker-CE 社区版并设置为开机自动启动
yum install -y docker-ce

systemctl start docker.service
systemctl enable docker.service 

5.#查看 docker 版本信息
docker version

安装好的Docker系统有两个程序，Docker服务端和Docker客户端。其中Docker服务端是一个服务 进程，负责管理所有容器。
Docker客户端则扮演着Docker服务端的远程控制器，可以用来控制Docker的服务端进程。大部分情况下Docker服务端和客户端运行在一台机器上。

源码编译安装

tar zxvf docker-19.03.9.tgz
mv docker/* /usr/bin

cat > /usr/lib/systemd/system/docker.service << EOF
[Unit]
Description=Docker Application Container Engine
Documentation=https://docs.docker.com
After=network-online.target firewalld.service
Wants=network-online.target

[Service]
Type=notify
ExecStart=/usr/bin/dockerd
ExecReload=/bin/kill -s HUP $MAINPID
LimitNOFILE=infinity
LimitNPROC=infinity
LimitCORE=infinity
TimeoutStartSec=0
Delegate=yes
KillMode=process
Restart=on-failure
StartLimitBurst=3
StartLimitInterval=60s

[Install]
WantedBy=multi-user.target
EOF



systemctl start docker.service
systemctl enable docker.service 

镜像加速下载

浏览器访问 https://cr.console.aliyun.com/cn-hangzhou/instances/mirrors 获取镜像加速器配置

1.申请加速器地址
这里我们使用阿里云的镜像，加速镜像下载速度
注册阿里云账号并登录

2.搜索容器镜像服务

3.查看操作文档

在虚拟机上执行命令 
 
  docker info查看是否启用加速

五、Docker命令使用

查看

docker version     #查看当前客户端和服务端的相关的版本信息
docker info        #查看详细详细

镜像操作

搜索镜像–docker search

格式：docker search 关键字
docker search nginx

下载镜像–docker pull

格式：docker pull 仓库名称[:标签]
#如果下载镜像时不指定标签，则默认会下载仓库中最新版本的镜像，即选择标签为 latest 标签。

#例
[root@localhost ~]# docker pull nginx
#Using default tag: latest
#latest: Pulling from library/nginx
#b85a868b505f: Pull complete 
#f4407ba1f103: Pull complete 
#4a7307612456: Pull complete 
#935cecace2a0: Pull complete 
#8f46223e4234: Pull complete 
#fe0ef4c895f5: Pull complete 
#Digest: sha256:10f14ffa93f8dedf1057897b745e5ac72ac5655c299dade0aa434c71557697ea
#Status: Downloaded newer image for nginx:latest
#docker.io/library/nginx:latest
[root@localhost ~]# docker images   #查看本地的镜像
REPOSITORY   TAG       IMAGE ID       CREATED        SIZE
nginx        latest    55f4b40fe486   29 hours ago   142MB

查看镜像信息–docker images

docker images

#根据镜像的唯一标识 ID 号，获取镜像详细信息
格式：docker inspect 镜像ID号
docker inspect 55f4b40fe486

镜像下载后存放在 /var/lib/docker
 
#查看下载的镜像文件的详细信息
cat /var/lib/docker/image/overlay2/repositories.json
 
#查看下载到本地的所有镜像
docker images
 
REPOSITORY：镜像属于的仓库；
TAG：镜像的标签信息，标记同一个仓库中的不同镜像；
IMAGE ID：镜像的唯一ID 号，唯一标识一个镜像；
CREATED：镜像创建时间；
VIRTUAL SIZE：镜像大小；

为本地的镜像添加新的标签–docker tag

格式：docker tag 名称:[标签] 新名称:[新标签]
docker tag nginx:latest nginx:ky18
#有很多镜像使用
docker images | grep nginx

docker tag nginx:latest soscscs/nginx:web
镜像仓库名

删除镜像–docker rmi

格式：
docker rmi 仓库名称:标签 #当一个镜像有多个标签时，只是删除其中指定的标签
或者
docker rmi 镜像ID号 #会彻底删除该镜像
 
注意：如果该镜像已经被容器使用，正确的做法是先删除依赖该镜像的所有容器，再去删除镜像。普通删除无法删除时，可以加-f选项强制删除。
 
docker rmi nginx:web



#批量删除镜像
docker rmi $(docker images -q) -f

-f 强制删除需要三思，如果此镜像正在被容器使用，会连同容器一起删除.

存储镜像：将镜像保存成为本地文件–docker save -o

格式：docker save -o 存储文件名 存储的镜像
docker save -o myapp.tar soscscs/myapp:v1 #存出镜像命名为nginx存在当前目录下
ls -lh

载入镜像：将镜像文件导入到镜像库中–docker load

格式：
docker load < 存出的文件
或者
docker load -i 存出的文件
 
docker load < nginx

上传镜像

默认上传到docker Hub官方公共仓库，需要注册使用公共仓库的账号https://hub.docker.com 
点击使用docker login命令来输入用户名、密码和邮箱来完成注册和登录。
在上传镜像之前，还需要先对本地镜像添加新的标签，然后再使用docker push 命令进行上传
#登录公共仓库
docker login                                         
Username:账号
password:密码                       
 1.先列出所有镜像
docker images
2.将要发布的镜像改到自己账户名下。
例：我的账户名：aaaa
我的镜像：docker_name
docker tag  docker_name  aaaa/docker_name
#添加新的标签时必须在前面加上自己的dockerhub的username
3.发布镜像
docker push aaaa/docker_name#上传镜像

容器

查询所有容器运行状态——docker ps -a

docker ps -a

CONTAINER ID   IMAGE          COMMAND                  CREATED          STATUS    PORTS     NAMES
8b0a7be0ff58   nginx:latest   "/docker-entrypoint.…"   57 seconds ago   Created             inspiring_swanson

容器的ID号	   加载的镜像     运行的程序               创建时间       当前的状态  端口映射  名称

创建容器——docker create

新创建的容器默认处于停止状态，不运行任何程序，需要在其中发起一个进程来启动容器。

#格式：docker create [选项] 镜像
#常用选项：
-i：让容器的输入保持打开
-t：让 Docker 分配一个伪终端

#示例：
docker create -it nginx:latest /bin/bash

启动容器——docker start

#格式：docker start 容器的ID/名称
docker start b2a57b3ea48a
docker ps -a

停止容器运行–docker stop

格式∶ docker stop 容器的ID/名称
docker stop [-t] 容器的ID/名称                     #-t指定等待多少秒后直接kill该容器，默认10秒
 
docker ps -a
 
格式：docker kill 容器的ID/名称
docker kill 容器的ID/名称 
 
docker ps -a
 
#kill和stop区别在于stop会通知容器需要进行关闭，在等待10S左右关闭容器，预留一个服务缓存数据保存的时间，而kill会立刻关闭容器，缓存在内存中的数据有可能会直接丢失

删除容器——docker rm -f

#需要先停止容器进行删除，如果强制删除运行状态容器需要加上“-f”，rmi为删除镜像仓库，而使用rm可以删除容器
格式∶docker rm [-f] 容器ID/名称
docker stop 容器ID                            #删除已经终止状态的容器
docker rm 容器ID
docker rm -f 容器ID                           #强制删除正在运行的容器
 
#批量停止容器
docker ps -a | awk 'NR>=2{print "docker stop "$1}' | bash                
docker ps -a | awk 'NR>=2{print $1}' | xargs docker stop
 
#批量删除所有容器
docker ps -a | awk 'NR>=2{print "docker rm "$1}'| bash 
docker ps -a | awk 'NR>=2{print $1}'| xargs docker rm (-f)
 
#批量删镜像
docker images | awk 'NR>=2{print "docker rmi "$3}'| bash
 
#删除none镜像
docker images | grep none | awk '{print $3}' | xargs docker rmi
 
#批量清理后台停止的容器
docker rm $(docker ps -a -q)

创建并启动容器 ——docker run

#加 -d 选项让 Docker 容器以守护形式在后台运行。并且容器所运行的程序不能结束。

#示例1：
docker run -itd nginx:latest /bin/bash

#示例2：执行后退出
docker run centos:7 /usr/local/bash -c ls /   

#示例3：执行后不退出，以守护进程方式执行持续性任务
docker run -d centos:7 /usr/local/bash -c "while true;do echo hello;done" 


#会发现创建了一个新容器并启动执行一条 shell 命令，容器将这条命令作为第一个进程，命令执行完毕后容器的第一个进程也关闭则容器就停止了

--name 指定名称 --id后台启动 

docker run 就是运行容器的命令，具体格式我们会在 容器 一节进行详细讲解，我们这里简要的说明一下上面用到的参数。

-it：这是两个参数，一个是 -i：交互式操作，一个是 -t 终端。我们这里打算进入 bash 执行一些命令并查看返回结果，因此我们需要交互式终端。

--rm：这个参数是说容器退出后随之将其删除。默认情况下，为了排障需求，退出的容器并不会立即删除，除非手动 docker rm。我们这里只是随便执行个命令，看看结果，不需要排障和保留结果，因此使用 --rm 可以避免浪费空间。

bash：放在镜像名后的是 命令，这里我们希望有个交互式 Shell，因此用的是 bash。

进入容器后，我们可以在 Shell 下操作，执行任何所需的命令。这里，我们执行了 cat /etc/os-release，这是 Linux 常用的查看当前系统版本的命令，从返回的结果可以看到容器内是 Ubuntu 18.04.1 LTS 系统。

最后我们通过 exit 退出了这个容器。

进入容器–docker exec

格式∶ docker exec -it 容器ID/名称 /bin/bash
-i 选项表示让容器的输入保持打开
-t 选项表示让Docker分配一个伪终端

bash|sh

查看容器进程日志–docker logs

docker logs fb01a6904fe3

查看容器pid=1的进程

从宿主机上将文件导入到容器中–docker cp

echo abc123 > nanjing,txt       #在当前目录创建一个文件，然后复制到容器中
docker cp nanjing,txt 96b69fc922bb:/opt/
 
#从容器复制文件到主机
docker cp 96b69fc922bb:/opt/test.txt ~/abc123.txt

容器导出/导入——docker export

用户可以将任何一个 Docker 容器从一台机器迁移到另一台机器。在迁移过程中，可以使用docker export 命令将已经创建好的容器导出为文件，无论这个容器是处于运行状态还是停止状态均可导出。可将导出文件传输到其他机器，通过相应的导入命令实现容器的迁移。

#导出格式：docker export 容器ID/名称 > 文件名
docker export b99e0771c4e1 > centos_7

#导入格式：cat 文件名 | docker import – 镜像名称:标签
法①
docker import centos_7  centos：v1	#导入后会生成镜像，但不会创建容器
法②
cat centos_7 |docker import - centos:v2

补充

runtime 运行环境

物理机 裸金属

虚拟机 VMware workstation vm sphere esxi KVM

容器 docker podman rocket containered:

路由转发ipv4

[root@apache lnmp]# vim /etc/sysctl.conf 
net.ipv4.ip_forward=1
[root@apache lnmp]# sysctl -p
net.ipv4.ip_forward = 1
[root@apache lnmp]# docker run -id -P soscscs/myapp:v1
fb01a6904fe38bfa22646a729a3b6a5802dbadd2402ba0f5d5ae830985d1f2f8

六、Docker 网络

1 .Docker网络实现原理

• Docker使用Linux桥接，在宿主机虚拟一个Docker容器网桥(docker0)，Docker启动一个容器时会根据Docker网桥的网段分配给容器一个IP地址，称为Container-IP，同时Docker网桥是每个容器的默认网关。因为在同一宿主机内的容器都接入同一个网桥，这样容器之间就能够通过容器的Container-IP 直接通信。
• Docker网桥是宿主机虚拟出来的，并不是真实存在的网络设备，外部网络是无法寻址到的，这也意味着外部网络无法直接通过Container-IP访问到容器。如果容器希望外部访问能够访问到，可以通过映射容器端口到宿主主机(端口映射)，即dockerrun创建容器时候通过-p或-P参数来启用，访问容器的时候就通过[宿主机IP]:[容器端口]访问容器。

​

docker rm $(docker ps -a -q) 					#批量清理后台停止的容器
格式：
docker run -d --name test1 -P nginx            	#-P不指定，随机映射端口（从32768开始）
docker run -d --name test2 -p 43999:80 nginx	#-p指定映射端口
docker ps-a 
 
浏览器访问：http://192.168.80.17:49153与http://192.168.80.17:43999
#查看容器的输出和日志信息
docker logs 容器的ID/名称

#底层原理DNAT
iptables -nL -t nat

-P随机映射端口

-p指定映射端口

2.Docker的网络模式

• Host：容器将不会虚拟出自己的网卡，配置自己的IP等，而是使用宿主机的IP和端口。

• Container：创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围。

• None：该模式关闭了容器的网络功能。

• Bridge：默认为该模式，此模式会为每一个容 器分配、设置IP等，并将容器连接到一个docker0虚拟网桥，通过docker0网桥以及iptables nat表配置与宿主机通信。

  每个容器都有自己的ip地址，端口范围且不共享
  每个容器都会连接到Docker0网桥上的虚拟网卡

• 自定义网络：安装Docker时，它会自动创建三个网络，bridge ( 创建容器默认连接到此网络)、none 、host。

docker network ls 或 docker network list		#查看docker

使用docker run 创建Docker容器时，可以用--net或--network 选项指定容器的网络模式

• host模式:使用--net=host 指定。
• none模式:使用--net=none 指定。
• container模式:使用--net=container:NAME_ _or_ ID指定。
• bridge模式:使用--net=bridge 指定，默认设置，可省略。

3.docker网络模式详解

3.1 host模式

• 相当于Vmware中的桥接模式，与宿主机在同一个网络中，但没有独立IP地址。
• Docker使用了Linux的Namespaces技术来进行资源隔离，如PID Namespace隔离进程，Mount Namespace隔离文件系统，Network Namespace隔离网络等。
• 一个Network Namespace提供了一份独立的网络环境，包括网卡、路由、iptable规则 等都与其他的Network Namespace隔离。

一个Docker容器一般会分配一个独立的Network Namespace 。但如果启动容器的时候使用host模式，那么这个容器将不会获得一个独立的NetworkNamespace,而是和宿主机共用一个Network Namespace。 容器将不会虚拟出自己的网卡、配置自己的IP等，而是使用宿主机的IP和端口。
总结：容器与宿主机共享端口范围

3.2 container模式

在理解了host模式后，这个模式也就好理解了。这个模式指定新创建的容器和已经存在的一个容器共享一个Network Namespace（网络命名空间），而不是和宿主机共享。新创建的容器不会创建自己的网卡，配置自己的IP，而是和一个指定的容器共享IP、端口范围等。同样，两个容器除了网络方面，其他的如文件系统、进程列表等还是隔离的。两个容器的进程可以通过 lo网卡设备通信。

总结：容器与容器之间共享端口

[root@apache ~]# docker run -id --name c1 centos:7 bash
990a34832aeb5614f30a15b55d8b2f5dbad7d39fd5e089ca6856a768d1c3aa9b
[root@apache ~]# docker ps -a
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
990a34832aeb        centos:7            "bash"              6 seconds ago       Up 5 seconds                            c1
[root@apache ~]# docker inspect -f '{{.State.Pid}}' 990a34832aeb  #查看容器进程PID
101588
[root@apache ~]# ll /proc/101588/ns
总用量 0
lrwxrwxrwx 1 root root 0 7月   6 15:21 ipc -> ipc:[4026532632]
lrwxrwxrwx 1 root root 0 7月   6 15:21 mnt -> mnt:[4026532630]
lrwxrwxrwx 1 root root 0 7月   6 15:18 net -> net:[4026532635]  #查看此项Network Namespace
lrwxrwxrwx 1 root root 0 7月   6 15:21 pid -> pid:[4026532633]
lrwxrwxrwx 1 root root 0 7月   6 15:21 user -> user:[4026531837]
lrwxrwxrwx 1 root root 0 7月   6 15:21 uts -> uts:[4026532631]
[root@apache ~]# docker run -id --name c2 centos:7 bash
1b51a2f0261939aa011a419fa7ca574817746664c9edbda8dca9910f0e87874c
[root@apache ~]# docker ps -a
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
1b51a2f02619        centos:7            "bash"              7 seconds ago       Up 7 seconds                            c2
990a34832aeb        centos:7            "bash"              6 minutes ago       Up 6 minutes                            c1
[root@apache ~]# docker inspect -f '{{.State.Pid}}' 1b51a2f02619
101716
[root@apache ~]# ll /proc/101716/ns
总用量 0
lrwxrwxrwx 1 root root 0 7月   6 15:26 ipc -> ipc:[4026532752]
lrwxrwxrwx 1 root root 0 7月   6 15:26 mnt -> mnt:[4026532750]
lrwxrwxrwx 1 root root 0 7月   6 15:25 net -> net:[4026532755]#container模式的Network Namespace和上面的并不一样
lrwxrwxrwx 1 root root 0 7月   6 15:26 pid -> pid:[4026532753]
lrwxrwxrwx 1 root root 0 7月   6 15:26 user -> user:[4026531837]
lrwxrwxrwx 1 root root 0 7月   6 15:26 uts -> uts:[4026532751]

① 根据容器pid查看该容器的Network Namespace

② 创建新容器，模式为container模式

查看新创建容器的Network Namespace 和之前的是否一致，可以看出与c1是一致的。

3.3 none模式

• 使用none模式，Docker 容器拥有自己的Network Namespace， 但是，并不为Docker容器进行任何网络配置。
• 也就是说，这个Docker容器没有网卡、IP、路由等信息。这种网络模式下容器只有lo回环网络，没有其他网卡。这种类型的网络没有办法联网，封闭的网络能很好的保证容器的安全性。

总结：每台容器玩单机

3.4 bridge模式

bridge模式是docker的默认网络模式，不用--net 参数，就是bridge模式。

____相当于Vmware中的nat 模式，容器使用独立network Namespace， 并连接到docker0虚拟网卡。通过docker0网桥以及iptables nat表配置与宿主机通信，此模式会为每一个容器分配Network Namespace、 设置IP等， 并将一个主机上的Docker容器连接到一个虚拟网桥上。

(1) 当Docker进程启动时，会在主机上创建一个名为docker0的虚拟网桥，此主机上启动的Docker容器会连接到这个虚拟网桥上。虚拟网桥的工作方式和物理交换机类似，这样主机上的所有容器就通过交换机连在了一个二层网络中。

(2) 从docker0子网中分配一-个IP给容器使用，并设置docker0的IP地址为容器的默认网关。在主机上创建—对虚拟网卡veth
pair设备。veth设备总是成对出现的，它们组成了一个数据的通道，数据从一个设备进入，就会从另一个设备出来。因此，veth设备常用来连接两个网络设备。

(3) Docker将 veth pair设备的一-端放在新创建的容器中，并命名为eth0 ( 容器的网卡)，另一端放在主机中，以veth*
这样类似的名字命名，并将这个网络设备加入到docker0网桥中。可以通过brctl show命令查看。

(4) 使用docker run -p时，docker 实际是在iptables做了DNAT规则，实现端口转发功能。可以使用iptables -t nat -vnL
查看。
总结：每个容器都有自己的网络空间，每个容器可以用相同的端口，通过网桥转发

3.5 自定义网络模式

##直接使用bridge模式，是无法支持指定IP运行docker的，例如执行以下命令就会报错
docker run -id --name c4 --network bridge --ip 172.17.0.10 centos:7 bash

测试：

自定义网络模式创建步骤

1）可以先自定义网络，再使用指定IP运行docker

docker network create --subnet=172.111.0.0/17 --opt "com.docker.network.bridge.name"="docker1" mynetwork

#docker1为执行ifconfig -a命令时，显示的网卡名，如果不使用–opt 参数指定此名称，那你在使用ifconfig -a命令查看网络信息时，看到的是类似br-110eb56a0b22 这样的名字，这显然不怎么好记。

#mynetwork为执行docker network list 命令时，显示的bridge网络模式名称。

2）使用指定IP运行docker

docker run -id --name c6 --network mynetwork --ip 172.111.0.10 centos:7 bash

实际操作：

① 自定义网络docker1

② 指定IP运行docker

③ 查看创建的ip

七、资源控制

一、CPU控制

​ cgroups，是一个非常强大的linux内核工具，他不仅可以限制被namespace隔离起来的资源,
还可以为资源设置权重、计算使用量、操控进程启停等等。所以cgroups (Control groups) 实现了对资源的配额和度量。
​ cgroups有四大功能:

• 资源限制:可以对任务使用的资源总额进行限制；
• 先级分配:通过分配的cpu时间片数量以及磁盘I0带宽大小，实际上相当于控制了任务运行优先级；
• 资源统计:可以统计系统的资源使用量，如cpu时长，内存用量等；
• 任务控制: cgroup可以对任务执行挂起、恢复等操作。

1.1 设置CPU使用率上限

• Linux通过CFS ( Completely Fair Scheduler， 完全公平调度器）来调度各个进程对CPU的使用。CFS默认的调度周期是100ms。
• 可以设置每个容器进程的调度周期，以及在这个周期内各个容器最多能使用多少CPU时间。