青蛙小白

#Containerd

← 全部文章

查看Linux系统cgroup的版本

最近Docker Engine v29.0.0 和 containerd 2.2.0 均宣布 cgroup v1 is deprecated，支持将持续到 2029 年 5 月，但建议尽快迁移到 cgroup v2。 对于运维团队来说,现在就是规划迁移的最佳时机。 什么是 cgroup cgroup (Control Groups) 是 Linux 内核提供的一种资源管理机制,用于限制、记录和隔离进程组使用的物理资源。它是容器技术的核心基础之一,Docker、Kubernetes 等容器平台都依赖 cgroup 来实现资源隔离和限制。

重学容器30: 容器资源限制之限制容器的进程数量

容器的单进程模型 容器的单进程模型是指推荐在一个容器里只运行一个进程。 容器的单进程模型并不是说容器里只能运行一个进程，而是因为容器本身没有管理多个进程的能力，推荐在一个容器里只运行一个进程。 在正常的Linux操作系统里都有个1号进程init，例如CentOS的systemd，所有的其他进程都是1号进程的子进程或者是子进程的子进程。 1号进程具有进程管理能力，例如对僵尸进程的管理。而容器中的1号进程就是容器运行的应用本身，它是没有进程管理能力的，所以推荐在容器中只运行一个进程。

重学容器29: 容器资源限制之限制容器的CPU

在最近25~28节，学习了容器镜像构建的一些实践和技巧，使用Containerd替代Docker后，使用buildkit作为容器镜构建工具，到此对容器镜像构建的学习先告一段落。 在前面第6节学习了容器资源限制背后的技术cgroups的基本概念，并以cgroups cpu子系统为例体验一下手动设置cgroup。 先简单复习一下第6节的内容。使用CGroups可以控制的资源有: CPU、内存、网络、IO、文件设备等，因为计算资源(CPU)是cgroups资源限制中最重要的一种资源之一，本节将详细介绍一下如何使用cpu cgroup限制容器CPU的使用。

重学容器28: 容器镜像构建技巧之使用secret给Dockerfile传递敏感信息

在构建容器镜像时，有的时候需要在Dockerfile中使用一些敏感信息，例如下面的Dockerfile: FROM python:3 ...... WORKDIR /usr/src/app RUN pip3 install -r /usr/src/app/requirements.txt -i https://username:[email protected]/simple ...... 这是构建一个python应用镜像的Dockerfile，在从私有pip源安装依赖时需要在Dockerfile中用到私有源仓库的用户名和密码。如果像上面这个Dockerfile这样写的话，用户名和密码就会暴露在构建出的镜像中，并随着镜像的分发泄露出去。

重学容器27: 容器镜像构建技巧之构建体积更小的镜像和多阶段构建

在构建容器镜像时，会用到一些技巧以构建出体积更小的镜像，以在镜像分发和容器部署时获得更快的速度。 构建体积更小的镜像 一个镜像是由很多层(Layers)组成的，Dockerfile中的每条指令都会创建镜像层，但只有RUN, COPY, ADD会使镜像的体积增加。 理解了镜像层后，显而易见构建体积更小的镜像的需要从两个方面着手: 精简镜像层数和精简镜像每层的大小。

重学容器26: Dockerfile代码规范检测工具hadolint

上一节学习了一些实际工作中编写Dockerfile的实践经验，本节给大家推荐一款Dockerfile的代码规范检查工具hadolint。 hadolint的项目地址是https://github.com/hadolint/hadolint，它是一个智能的Dockerfile linter，帮助检查Dockerfile的编写是否满足最佳实践的规范。hadolint将Dockerfile解析为一个AST抽象语法树，并在AST之上执行规则。它是基于ShellCheck检查RUN指令中的Bash代码的。

重学容器25: 编写Dockerfile的一些实践经验

前面2节学习了容器存储挂载的基础知识，本节开始学习容器镜像构建相关知识。 当使用Containerd作为容器运行时，我们构建容器镜像的工具链发生了变化，前面在《第11节,容器镜像构建工具和方案介绍》中介绍了替代docker build的一些方案。 我们在实际中选择的是buildkit。关于buildkit，分别在《第5节,使用nerdctl + buildkitd构建容器镜像》，《第12节,使用buildkit实现容器镜像的远程构建,《第13节,在k8s集群上部署buildkit 》做了详细的介绍。