Как осуществляется ограничение ресурсов в Docker?

Docker использует cgroups (control groups) и namespaces для ограничения и изоляции ресурсов контейнеров.

• cgroups позволяют ограничивать и учитывать использование ресурсов (CPU, память, I/O, сеть).
• Namespaces обеспечивают изоляцию процессов, сети, монтированных точек, пользователей.

Основные параметры ограничения ресурсов:

• CPU:
  • --cpu-shares: Задает относительную "важность" контейнера. Контейнер получает долю доступного CPU пропорционально этому значению по сравнению с другими контейнерами, имеющими --cpu-shares. По умолчанию 1024.
  • --cpu-quota: Ограничивает использование CPU абсолютным значением в микросекундах за период --cpu-period. Например, --cpu-period=100000 --cpu-quota=50000 означает 50% одного ядра.
  • --cpuset-cpus: Ограничивает контейнер конкретными ядрами процессора (например, 0,1 или 0-3).
  • --cpuset-mems: Ограничивает доступ контейнера к определенным узлам памяти NUMA.
• Память:
  • --memory: Ограничивает объем оперативной памяти, доступной контейнеру. Поддерживаются суффиксы b, k, m, g.
  • --memory-swap: Устанавливает лимит на общую память (RAM + Swap). Если меньше --memory, то контейнер не может использовать swap. Если --memory-swap больше --memory, то разница между ними - это максимально доступный swap.
  • --memory-swappiness: Устанавливает коэффициент swappiness для контейнера (по умолчанию -1, что соответствует настройкам хоста).
  • `--memor