Resurs cheklovlari

13-bobda docker stats chegarasiz konteyner uchun butun host xotirasini ko'rsatganini payqadik. Bu shunchaki ko'rsatuv emas - konteyner haqiqatan hammasini olishi mumkin.

Bitta xato ketgan jarayon butun serverni to'xtatib qo'yishi uchun shu yetarli.

Chegarasiz holat #

Konteyner ichidan cgroup fayllariga qaraymiz:

docker run --rm alpine:3.21 sh -c \
    'echo "xotira: $(cat /sys/fs/cgroup/memory.max)"
     echo "CPU   : $(cat /sys/fs/cgroup/cpu.max)"'

xotira: max
CPU   : max 100000

Ikkalasida ham max - ya'ni chegara yo'q.

Xotira chegarasi #

docker run --rm -m 128m alpine:3.21 cat /sys/fs/cgroup/memory.max

134217728

134217728 bayt - aynan 128 MiB. Chegara yadro darajasida o'rnatildi.

CPU chegarasi #

docker run --rm --cpus 0.5 alpine:3.21 cat /sys/fs/cgroup/cpu.max

50000 100000

Ikki son: har 100000 mikrosekundlik davrda 50000 mikrosekund CPU vaqti. Ya'ni yarim yadro.

Bu haqiqatan sekinlashtiradi. Bir xil hisoblash sikli mening kompyuterimda:

To'rt barobardan ko'proq - kutilganidek.

Chegara oshsa nima bo'ladi? #

32 MiB chegarali konteynerga 200 MiB yozdiramiz:

docker run --name oom -m 32m alpine:3.21 \
    sh -c 'dd if=/dev/zero of=/dev/shm/katta bs=1M count=200' >/dev/null 2>&1
echo "chiqish kodi: $(docker inspect oom -f '{{.State.ExitCode}}')"
echo "OOMKilled   : $(docker inspect oom -f '{{.State.OOMKilled}}')"

chiqish kodi: 137
OOMKilled   : true

137 yana paydo bo'ldi - lekin bu safar sabab boshqa.

137 = 128 + 9, ya'ni SIGKILL. Ikkala holatda ham jarayon majburan o'ldirilgan, lekin sabab butunlay boshqa - va OOMKilled maydonisiz ularni farqlab bo'lmaydi.

docker inspect <konteyner> -f '{{.State.OOMKilled}}'

Chegara stats da ham ko'rinadi #

docker run -d --name cheklangan -m 256m --cpus 0.5 \
    alpine:3.21 sleep 120 >/dev/null
docker inspect cheklangan \
    -f 'Xotira : {{.HostConfig.Memory}} bayt
NanoCPU: {{.HostConfig.NanoCpus}}'

Xotira : 268435456 bayt
NanoCPU: 500000000

Endi docker stats da limit haqiqiy qiymatni ko'rsatadi - 13-bobdagi kabi butun host xotirasini emas.

PID chegarasi #

Fork bombasi yoki nazoratdan chiqqan sikl minglab jarayon yaratishi mumkin:

docker run --rm --pids-limit 10 alpine:3.21 sh -c \
    'for i in $(seq 1 30); do sleep 5 & done' 2>&1 | head -1

sh: can't fork: Resource temporarily unavailable

O'ninchi jarayondan keyin yadro fork ga ruxsat bermadi. Konteyner ichida muammo bor, lekin host butunlay sog'lom.

Faqat o'qish uchun fayl tizimi #

docker run --rm --read-only alpine:3.21 sh -c 'touch /yangi' 2>&1 | head -1

touch: /yangi: Read-only file system

Ilova hech narsa yoza olmaydi. Vaqtinchalik fayl kerak bo'lsa, unga alohida joy beriladi:

docker run --rm --read-only --tmpfs /tmp alpine:3.21 \
    sh -c 'touch /tmp/yangi && echo "tmp ga yozildi"'

tmp ga yozildi

Compose da #

services:
  ilova:
    image: dokon:1.0
    read_only: true
    tmpfs:
      - /tmp
    pids_limit: 200
    deploy:
      resources:
        limits:
          cpus: "1.0"
          memory: 512M
        reservations:
          memory: 128M

limits - maksimum, reservations esa rejalashtirish uchun minimum.

Qaysi qiymatni tanlash? #

Bular boshlang'ich nuqta. To'g'ri yo'l - o'lchash:

1. Chegarasiz ishga tushiring
2. Bir necha kun docker stats bilan kuzating
3. Eng yuqori qiymatga 50% zaxira qo'shib chegara qo'ying
4. OOM bo'lsa - oshiring, uzoq vaqt bo'sh tursa - kamaytiring

Xulosa #

• Chegarasiz konteyner hostning hamma xotirasi va CPU sini olishi mumkin.
• Chegara cgroup darajasida o'rnatiladi: /sys/fs/cgroup/memory.max va cpu.max.
• -m 128m → memory.max 134217728 bayt; --cpus 0.5 → cpu.max "50000 100000".
• Xotira chegarasi oshsa, yadro jarayonni SIGKILL bilan o'ldiradi: chiqish kodi 137.
• Bu docker stop dagi 137 dan OOMKilled: true maydoni bilan ajratiladi - takror qayta ishga tushayotgan konteynerda birinchi navbatda shuni tekshiring.
• OOM o'limida jurnalda odatda hech qanday xato qolmaydi.
• --pids-limit fork bombasidan himoya qiladi.
• --read-only juda arzon va kuchli chora: hujumchi fayl qoldira olmaydi; yoziladigan joy --tmpfs bilan beriladi.
• Compose da deploy.resources.limits ishlatiladi.
• Chegarani o'lchab tanlang; ilovaning o'z xotira sozlamasi konteyner chegarasidan kichik bo'lsin.