CN110413382A - 一种Docker容器的资源动态调整的方法、设备及可读介质 - Google Patents

Abstract

本发明公开了一种Docker容器的资源动态调整的方法，包括以下步骤：收集Docker容器的资源信息；对资源信息进行分析，以判断Docker容器的资源隔离性是否被破坏；响应于Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及根据资源使用强度限制量对Docker容器的资源使用进行限制。本发明还公开了一种计算机设备和可读存储介质。本发明提出的Docker容器的资源动态调整的方法及装置通过实时监控，动态调整Docker容器的资源使用，隔离容器CPU、内存资源，保护Docker容器的运行安全。

Description

一种Docker容器的资源动态调整的方法、设备及可读介质

技术领域

本发明涉及云计算安全领域，更具体地，特别是指一种Docker容器的资源动态调整的方法、设备及可读介质。

背景技术

Docker容器是使用Linux命名空间等技术隔离进程和资源，不需要提供指令解释机制以及全虚拟化的其他复杂性。LXC提供在单一可控主机节点上支持多个相互隔离的容器同时执行的机制。容器提供一个拥有自己进程和网络空间的虚拟环境，是一种操作系统层次上的资源的虚拟化。容器将由单个操作系统管理的资源划分到孤立的组中，以更好地在孤立的组之间平衡有冲突的资源使用需求。

与容器相比，虚拟机具有完整的操作系统，其自身的内存管理通过相关的虚拟设备进行支持。在虚拟机中，为客户操作系统和虚拟机管理程序分配有效的资源，从而在单台主机上并行运行一个或多个操作系统的多个实例。每个客户操作系统作为主机系统中的单个实体运行。与传统虚拟机技术相比，Linux容器虚拟化的特点在于：(1)与宿主机使用同一个操作系统内核，性能损耗小；(2)不需要硬件虚拟化支持，兼容性更好，可运行在国产自主硬件平台上；(3)Linux容器直接在CPU核心的本地运行指令，没有任何解释机制，执行效率更高；(4)轻量级隔离，隔离性较弱。容器隔离性较弱的特性给部署在容器中的信息系统带来安全威胁。宿主机上某个容器如果受到攻击，或者误操作产生了安全事故，有可能迅速耗尽所在节点的计算、内存等资源，影响到同一个节点上其他容器的正常运行，从而造成不良后果。

发明内容

有鉴于此，本发明实施例的目的在于提出一种Docker容器的资源动态调整的方法及装置，主要是通过实时监控，动态调整Docker容器的资源使用，隔离容器CPU、内存资源，保护Docker容器的运行安全。

基于上述目的，本发明实施例的一方面提供了一种Docker容器的资源动态调整的方法，包括如下步骤：收集Docker容器的资源信息；对资源信息进行分析，以判断Docker容器的资源隔离性是否被破坏；响应于Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及根据资源使用强度限制量对Docker容器的资源使用进行限制。

在一些实施方式中，收集Docker容器的资源信息包括：设置每次收集Docker容器的资源信息的持续时间。

在一些实施方式中，对资源信息进行分析包括：计算持续时间内Docker容器的平均资源使用率。

在一些实施方式中，判断Docker容器的资源隔离性是否被破坏包括：判断Docker容器的平均资源使用率是否超过了预设的阈值。

在一些实施方式中，根据资源使用强度限制量对Docker容器的资源使用进行限制包括：确定Docker容器中资源使用最高的子容器；以及根据资源使用强度限制量对子容器的资源使用进行限制。

本发明实施例的另一方面，还提供了一种计算机设备，包括：至少一个处理器；以及存储器，存储器存储有可在处理器上运行的计算机指令，指令由处理器执行以实现如下步骤：收集Docker容器的资源信息；对资源信息进行分析，以判断Docker容器的资源隔离性是否被破坏；响应于Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及根据资源使用强度限制量对Docker容器的资源使用进行限制。

在一些实施方式中，收集Docker容器的资源信息包括：设置每次收集Docker容器的资源信息的持续时间。

在一些实施方式中，对资源信息进行分析包括：计算持续时间内Docker容器的平均资源使用率。

在一些实施方式中，判断Docker容器的资源隔离性是否被破坏包括：判断Docker容器的平均资源使用率是否超过了预设的阈值。

本发明实施例的再一方面，还提供了一种计算机可读存储介质，计算机可读存储介质存储有被处理器执行时执行如上方法的计算机程序。

本发明具有以下有益技术效果：通过实时监控，动态调整Docker容器的资源使用，隔离容器CPU、内存资源，保护Docker容器的运行安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的实施例。

图1为本发明提供的Docker容器的资源动态调整的方法的实施例的示意图；

图2为本发明提供的Docker容器的资源动态调整的方法的实施例的流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明实施例进一步详细说明。

需要说明的是，本发明实施例中所有使用“第一”和“第二”的表述均是为了区分两个相同名称非相同的实体或者非相同的参量，可见“第一”“第二”仅为了表述的方便，不应理解为对本发明实施例的限定，后续实施例对此不再一一说明。

基于上述目的，本发明实施例的第一个方面，提出了一种Docker容器的资源动态调整的方法的实施例。图1示出的是本发明提供的Docker容器的资源动态调整的方法的实施例的示意图。如图1所示，本发明实施例包括如下步骤：

S1、收集所述Docker容器的资源信息；

S2、对所述资源信息进行分析，以判断所述Docker容器的资源隔离性是否被破坏；

S3、响应于所述Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及

S4、根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制。

本实施例中可以实时收集当前运行在宿主机上的Docker容器的资源信息。资源信息可以包括CPU使用率、内存使用率等。具体收集什么数据，需要根据具体的情况而定。

在某些实施例中，收集所述Docker容器的资源信息包括：设置每次收集所述Docker容器的资源信息的持续时间。为了避免突发的峰值点对当前性能判断的影响，一般通过某短时间跨度内收集的平均资源使用率来考量当前性能，同时监控需要具备一定的实时性从而保证及时对过载容器进行调整，故收集频率不可过高或过低，可根据应用场景进行适度调整。在收集了资源信息之后可以对所述资源信息进行分析。在某些实施例中，对所述资源信息进行分析包括：计算所述持续时间内所述Docker容器的平均资源使用率。

判断所述Docker容器的资源隔离性是否被破坏。由预定义策略来判断当前容器系统的资源隔离性是否被破坏了。在某些实施例中，判断所述Docker容器的资源隔离性是否被破坏包括：判断所述Docker容器的平均资源使用率是否超过了预设的阈值。

预定义策略是设定容器系统的各项资源占用率阈值，依据预定义策略进行动态调节，在容器性能优良的情况下不会有任何多余操作。当容器系统的资源占用率不断升高，到达一个阈值(经验值默认是70％，可调节)以前，系统中容器的平均资源请求等待时间处于一个类线性的缓慢增加状态，然而当容器系统的资源使用率超过阈值后，系统内的容器平均资源请求等待时间则呈现出类指数函数的快速增长趋势。在这个状态下，系统内的容器性能都降低的很快，使用容器服务的租户或应用将直接感受到容器的不稳定和低性能。如果当前容器系统的整体资源占用率超过了上述阈值，这表明系统内的容器性能刚刚到达了一个瓶颈，容器的性能很快将会下降，容器的平均资源请求等待时间将会快速的增长，可以认为此时容器性能互相之间干扰明显，容器系统的资源隔离性已经被破坏。这时为了保证容器服务的性能，需要对过载容器进行限制。

策略默认是资源占用率达到70％即触发动态调整，可根据当前容器系统运行的业务系统进行调整，如果业务系统对响应速度要求较高，需要实时处理，可调低此阈值以保证业务系统性能，如果业务系统为异步处理，对响应速度不敏感，可调高阈值，以充分使用容器系统资源。

根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制。在某些实施例中，所述根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制包括：确定所述Docker容器中资源使用最高的子容器；以及根据所述资源使用强度限制量对所述子容器的资源使用进行限制。基于公平性和时效性，将会计算强度限制量并根据强度限制量降低当前资源使用率最高的容器。Linux Cgroups机制可以对容器进程在资源使用量方面产生限制效果，可以利用该机制限制过载容器资源使用量，它限制的具体数值来自于计算的结果。限制结束以后，容器系统的资源占用率将会低于阈值，保证系统内的容器有一个稳定优良的性能，也即保证了容器系统的性能隔离性。

图2示出的是本发明提供的Docker容器的资源动态调整的方法的实施例的流程图。如图2所示，从框101开始，接着前进到框102，收集Docker容器的资源信息；接着前进到框103，对资源信息进行分析；接着前进到框104，判断Docker容器的资源隔离性是否被破坏，如果否，前进到框107结束，如果是，前进到框105，计算资源使用强度限制量；接着前进到框106，根据资源使用强度限制量对Docker容器的资源使用进行限制，接着前进到框107结束。

需要特别指出的是，上述Docker容器的资源动态调整的方法的各个实施例中的各个步骤均可以相互交叉、替换、增加、删减，因此，这些合理的排列组合变换之于Docker容器的资源动态调整的方法也应当属于本发明的保护范围，并且不应将本发明的保护范围局限在实施例之上。

基于上述目的，本发明实施例的第二个方面，提出了一种计算机设备，包括：至少一个处理器；以及存储器，存储器存储有可在处理器上运行的计算机指令，指令由处理器执行以实现如下步骤：S1、收集所述Docker容器的资源信息；S2、对所述资源信息进行分析，以判断所述Docker容器的资源隔离性是否被破坏；S3、响应于所述Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及S4、根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制。

在一些实施方式中，收集Docker容器的资源信息包括：设置每次收集Docker容器的资源信息的持续时间。

在一些实施方式中，对资源信息进行分析包括：计算持续时间内Docker容器的平均资源使用率。

在一些实施方式中，判断Docker容器的资源隔离性是否被破坏包括：判断Docker容器的平均资源使用率是否超过了预设的阈值。

在一些实施方式中，根据资源使用强度限制量对Docker容器的资源使用进行限制包括：确定Docker容器中资源使用最高的子容器；以及根据资源使用强度限制量对子容器的资源使用进行限制。

本发明还提供了一种计算机可读存储介质，计算机可读存储介质存储有被处理器执行时执行如上方法的计算机程序。

最后需要说明的是，本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，可以通过计算机程序来指令相关硬件来完成，Docker容器的资源动态调整的方法的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，程序的存储介质可为磁碟、光盘、只读存储记忆体(ROM)或随机存储记忆体(RAM)等。上述计算机程序的实施例，可以达到与之对应的前述任意方法实施例相同或者相类似的效果。

此外，根据本发明实施例公开的方法还可以被实现为由处理器执行的计算机程序，该计算机程序可以存储在计算机可读存储介质中。在该计算机程序被处理器执行时，执行本发明实施例公开的方法中限定的上述功能。

此外，上述方法步骤以及系统单元也可以利用控制器以及用于存储使得控制器实现上述步骤或单元功能的计算机程序的计算机可读存储介质实现。

此外，应该明白的是，本文的计算机可读存储介质(例如，存储器)可以是易失性存储器或非易失性存储器，或者可以包括易失性存储器和非易失性存储器两者。作为例子而非限制性的，非易失性存储器可以包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦写可编程ROM(EEPROM)或快闪存储器。易失性存储器可以包括随机存取存储器(RAM)，该RAM可以充当外部高速缓存存储器。作为例子而非限制性的，RAM可以以多种形式获得，比如同步RAM(DRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据速率SDRAM(DDRSDRAM)、增强SDRAM(ESDRAM)、同步链路DRAM(SLDRAM)、以及直接Rambus RAM(DRRAM)。所公开的方面的存储设备意在包括但不限于这些和其它合适类型的存储器。

本领域技术人员还将明白的是，结合这里的公开所描述的各种示例性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，已经就各种示意性组件、方块、模块、电路和步骤的功能对其进行了一般性的描述。这种功能是被实现为软件还是被实现为硬件取决于具体应用以及施加给整个系统的设计约束。本领域技术人员可以针对每种具体应用以各种方式来实现的功能，但是这种实现决定不应被解释为导致脱离本发明实施例公开的范围。

结合这里的公开所描述的各种示例性逻辑块、模块和电路可以利用被设计成用于执行这里功能的下列部件来实现或执行：通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立门或晶体管逻辑、分立的硬件组件或者这些部件的任何组合。通用处理器可以是微处理器，但是可替换地，处理器可以是任何传统处理器、控制器、微控制器或状态机。处理器也可以被实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、一个或多个微处理器结合DSP和/或任何其它这种配置。

结合这里的公开所描述的方法或算法的步骤可以直接包含在硬件中、由处理器执行的软件模块中或这两者的组合中。软件模块可以驻留在RAM存储器、快闪存储器、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动盘、CD-ROM、或本领域已知的任何其它形式的存储介质中。示例性的存储介质被耦合到处理器，使得处理器能够从该存储介质中读取信息或向该存储介质写入信息。在一个替换方案中，存储介质可以与处理器集成在一起。处理器和存储介质可以驻留在ASIC中。ASIC可以驻留在用户终端中。在一个替换方案中，处理器和存储介质可以作为分立组件驻留在用户终端中。

在一个或多个示例性设计中，功能可以在硬件、软件、固件或其任意组合中实现。如果在软件中实现，则可以将功能作为一个或多个指令或代码存储在计算机可读介质上或通过计算机可读介质来传送。计算机可读介质包括计算机存储介质和通信介质，该通信介质包括有助于将计算机程序从一个位置传送到另一个位置的任何介质。存储介质可以是能够被通用或专用计算机访问的任何可用介质。作为例子而非限制性的，该计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储设备、磁盘存储设备或其它磁性存储设备，或者是可以用于携带或存储形式为指令或数据结构的所需程序代码并且能够被通用或专用计算机或者通用或专用处理器访问的任何其它介质。此外，任何连接都可以适当地称为计算机可读介质。例如，如果使用同轴线缆、光纤线缆、双绞线、数字用户线路(DSL)或诸如红外线、无线电和微波的无线技术来从网站、服务器或其它远程源发送软件，则上述同轴线缆、光纤线缆、双绞线、DSL或诸如红外线、无线电和微波的无线技术均包括在介质的定义。如这里所使用的，磁盘和光盘包括压缩盘(CD)、激光盘、光盘、数字多功能盘(DVD)、软盘、蓝光盘，其中磁盘通常磁性地再现数据，而光盘利用激光光学地再现数据。上述内容的组合也应当包括在计算机可读介质的范围内。

以上是本发明公开的示例性实施例，但是应当注意，在不背离权利要求限定的本发明实施例公开的范围的前提下，可以进行多种改变和修改。根据这里描述的公开实施例的方法权利要求的功能、步骤和/或动作不需以任何特定顺序执行。此外，尽管本发明实施例公开的元素可以以个体形式描述或要求，但除非明确限制为单数，也可以理解为多个。

应当理解的是，在本文中使用的，除非上下文清楚地支持例外情况，单数形式“一个”旨在也包括复数形式。还应当理解的是，在本文中使用的“和/或”是指包括一个或者一个以上相关联地列出的项目的任意和所有可能组合。

上述本发明实施例公开实施例序号仅仅为了描述，不代表实施例的优劣。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明实施例公开的范围(包括权利要求)被限于这些例子；在本发明实施例的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，并存在如上的本发明实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。因此，凡在本发明实施例的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本发明实施例的保护范围之内。

Claims (10)

1.一种Docker容器的资源动态调整的方法，其特征在于，包括：

收集所述Docker容器的资源信息；

对所述资源信息进行分析，以判断所述Docker容器的资源隔离性是否被破坏；

响应于所述Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及

根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制。

2.根据权利要求1所述的方法，其特征在于，所述收集所述Docker容器的资源信息包括：

设置每次收集所述Docker容器的资源信息的持续时间。

3.根据权利要求2所述的方法，其特征在于，所述对所述资源信息进行分析包括：

计算所述持续时间内所述Docker容器的平均资源使用率。

4.根据权利要求3所述的方法，其特征在于，判断所述Docker容器的资源隔离性是否被破坏包括：

判断所述Docker容器的平均资源使用率是否超过了预设的阈值。

5.根据权利要求1所述的方法，其特征在于，所述根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制包括：

确定所述Docker容器中资源使用最高的子容器；以及

根据所述资源使用强度限制量对所述子容器的资源使用进行限制。

6.一种计算机设备，其特征在于，包括：

至少一个处理器；以及

存储器，所述存储器存储有可在所述处理器上运行的计算机指令，所述指令由所述处理器执行时实现如下步骤：

收集所述Docker容器的资源信息；

对所述资源信息进行分析，以判断所述Docker容器的资源隔离性是否被破坏；

响应于所述Docker容器的资源隔离性被破坏，计算资源使用强度限制量；以及

根据所述资源使用强度限制量对所述Docker容器的资源使用进行限制。

7.根据权利要求6所述的计算机设备，其特征在于，所述收集所述Docker容器的资源信息包括：

设置每次收集所述Docker容器的资源信息的持续时间。

8.根据权利要求7所述的计算机设备，其特征在于，所述对所述资源信息进行分析包括：

计算所述持续时间内所述Docker容器的平均资源使用率。

9.根据权利要求8所述的计算机设备，其特征在于，判断所述Docker容器的资源隔离性是否被破坏包括：

判断所述Docker容器的平均资源使用率是否超过了预设的阈值。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时执行权利要求1-5任意一项所述的方法。