在Docker容器中使用cgroup v2
内容提要
本文介绍了在Docker容器中使用cgroup v2的方法，解决了内存使用超过限制导致容器终止的问题。通过添加--privileged和--cgroupns=host参数，作者成功控制了容器内的cgroups，保护了关键的自动恢复守护程序。这种设置对于维持模糊测试实验的弹性和效率非常重要。
延伸解读
为何需要特权模式与主机cgroup命名空间
文章指出，仅挂载/sys/fs/cgroup并添加--privileged并不足够，因为Docker默认使用独立的cgroup命名空间，限制了对主机cgroup设置的直接控制。必须同时使用--cgroupns=host，容器才能与主机的cgroup设置交互，从而创建cgroup并添加进程。这解释了单纯挂载文件系统仍会遇到“cgroup.procs: no such file or directory”错误的原因。
OOM杀手影响范围与隔离思路
在默认Docker内存限制下，当容器内存超限时，Linux的OOM杀手会终止整个容器，包括关键的自动恢复守护程序。作者的思路是让OOM杀手只针对模糊测试程序，而不影响守护程序。通过获得cgroup控制权，可以将不同进程放入不同cgroup，从而在内存压力下仅终止目标进程，保护守护程序，维持实验的自动恢复能力。
--pid=host的潜在用途与当前取舍
文章提到--pid=host选项可使容器的PID命名空间与主机对齐，便于直接使用实际PID检查其他cgroup.procs文件，适用于更复杂的系统交互。但作者明确表示，对于当前仅需隔离OOM杀手影响的目标，该选项并非必需。这提示读者可根据实际需求决定是否启用，避免不必要的权限扩大。
Q&A
如何在Docker容器中使用cgroup v2来解决内存问题？
可以通过在Docker命令中添加--privileged和--cgroupns=host参数来控制容器内的cgroups，从而解决内存使用超过限制导致容器终止的问题。
使用cgroup v2时，如何保护关键的自动恢复守护程序？
通过调整Docker命令，确保OOM杀手只针对模糊测试程序，而不影响自动恢复守护程序。
在Docker中使用cgroup v2时遇到的权限限制如何解决？
需要使用--cgroupns=host标志来直接与主机的cgroup设置交互，从而解决权限限制问题。
为什么要使用--pid=host选项？
--pid=host选项可以将容器的PID命名空间与主机对齐，便于进行更复杂的系统交互。
如何优化Docker容器的资源使用和管理成本？
通过在运行Docker容器时设置特定的资源限制，如--cpus和--memory参数，可以优化资源使用和管理成本。
在模糊测试实验中，如何确保弹性和效率？
通过正确配置Docker容器和cgroup设置，可以有效隔离OOM杀手的影响，确保模糊测试实验的弹性和效率。
