- 正确答案：在 Kubernetes 中，requests 和 limits 是 Pod 中容器资源（CPU 和内存）的声明式约束，其底层实现依赖于 Linux cgroups（control groups）v1 或 v2，并由 kubelet 通过 CRI（Container Runtime Interface）调用容器运行时（如 containerd 或 CRI-O）来配置对应的 cgroup 参数。其中，requests 主要影响调度决策（Scheduler 基于 requests 选择节点），而 limits 直接转化为 cgroup 的硬性资源上限，用于运行时强制限制；当容器内存使用超过 memory limit 时会被 OOMKilled；当 CPU 使用超过 cpu limit 时会被节流（throttled），但不会被杀死。 - 解答思路：首先明确 requests/limits 的作用域分两层：调度层（Scheduling）和运行时层（Runtime Enforcement）。 → 调度阶段：kube-scheduler 仅读取 Pod.spec.containers[].resources.requests 字段，将其与 Node.status.allocatable 比较，完成节点筛选与打分；该过程不涉及任何内核机制，纯属控制平面逻辑。 → 运行阶段：kubelet 在 Pod 绑定到节点后，调用 CRI（如 containerd 的 CreateContainer 接口），将 resources.limits 映射为具体的 cgroup v1/v2 参数，交由容器运行时写入对应 cgroup 路径，最终由内核 cgroup subsystem 实际执行资源隔离与限制。因此，requests 是“声明+调度语义”，limits 是“声明+内核强制语义”。 - 深度知识讲解：【1】cgroups 核心子系统与映射关系： - memory.limit_in_bytes（cgroup v1）或 memory.max（cgroup v2） ←→ memory limits 当进程内存分配总量（包括 page cache、anon pages、slab 等）超过该值，内核 memory controller 触发 OOM Killer，选择并 kill 当前 cgroup 中 oom_score_adj 最高的进程（通常即容器主进程）。注意：memory request 不影响 cgroup 设置，仅用于调度。 - cpu.cfs_quota_us / cpu.cfs_period_us（v1）或 cpu.max（v2） ←→ cpu limits 例如 limits.cpu=2 表示：cfs_quota_us = 200000, cfs_period_us = 100000 → 每 100ms 周期内最多使用 200ms CPU 时间（即 2 个逻辑核等价配额）。若容器持续争抢 CPU，超出配额后线程被 throttled（/sys/fs/cgroup/cpu/.../cpu.stat 中 nr_throttled > 0），表现为高 wait_time、低 CPU 利用率但业务延迟上升。 - cpu.shares（v1）或 cpu.weight（v2） ←→ cpu requests（仅当未设置 limits 时，kubelet 才设置 shares/weight 作为相对权重；若同时设了 requests 和 limits，则 kubelet 优先使用 CFS quota/period 机制，shares 仅作保底参考）默认 shares=1024；requests.cpu=500m → shares=512（按比例折算），但该值仅在所有容器都未达到各自 CPU limit 时起作用——即作为“资源空闲时的相对分配权重”，不具备硬限制能力。【2】Kubernetes 资源模型与 cgroup 层级结构： kubelet 为每个 Pod 创建独立的 cgroup 父目录（如 /kubepods/burstable/pod/），再为每个容器创建子目录（如 /container/）。该层级确保 Pod 内多容器共享资源配额（如 Pod 级 memory limit 尚未支持，但可通过 Topology Manager + QoS Class 影响 NUMA 分配）。QoS 类别（Guaranteed/Burstable/BestEffort）由 requests==limits 决定，直接影响 kubelet 的驱逐策略和 OOMScoreAdj 设置：Guaranteed 容器 oom_score_adj = -998（极难被杀），BestEffort 为 1000（最优先被杀）。【3】LimitRange 与 ResourceQuota 的协同： LimitRange 是 namespace 级默认值注入机制（如自动为无 limits 的容器注入 defaultLimit），它在 Admission Control 阶段（MutatingWebhook）修改 Pod spec，不直接操作 cgroup；ResourceQuota 则是 namespace 总量配额（如 total memory limit ≤ 10Gi），由 API Server 在 CREATE/UPDATE 时校验，也不触达运行时。【4】实际验证方法（以 cgroup v2 为例）：进入容器所在节点，查找对应 cgroup 路径： ``` # 查找 pod uid kubectl get pod -o jsonpath='{.metadata.uid}' # 查找对应 cgroup v2 路径（containerd 默认） ls /sys/fs/cgroup/kubepods/burstable/pod/ | grep container # 查看内存限制 cat /sys/fs/cgroup/kubepods/burstable/pod/container/memory.max # 查看 CPU 限制（cgroup v2） cat /sys/fs/cgroup/kubepods/burstable/pod/container/cpu.max # 查看 CPU 节流统计 cat /sys/fs/cgroup/kubepods/burstable/pod/container/cpu.stat | grep throttled ``` 【5】关键代码路径（kubelet v1.28+，cgroup v2）： pkg/kubelet/cm/container_manager_linux.go → ApplyPodCgroupConfig() ↓ pkg/kubelet/cm/cgroup_manager_v2.go → Apply() ↓ calls runc/libcontainer (via containerd-shim) to write values into cgroup fs 具体字段映射见： - memory: `config.Memory.LimitInBytes` → `memory.max` - cpu: `config.Cpu.Quota` & `config.Cpu.Period` → `cpu.max = "quota period"` 补充说明：Kubernetes 不直接操作 cgroup，而是通过 OCI runtime（如 runc）的 create/start 流程，在容器 init 过程中由 runtime 将 spec.linux.resources 写入 cgroup。kubelet 仅负责生成符合 OCI spec 的资源配置（pkg/kubelet/dockershim/docker_container.go 或 pkg/kubelet/cri/streaming/remotecommand/server.go 中构造 *runtimeapi.LinuxContainerResources）。 - 伪代码示意（简化版 kubelet apply limits 流程）： ``` func applyContainerLimits(cgroupPath string, resources v1.ResourceRequirements) error { if memLimit, ok := resources.Limits[v1.ResourceMemory]; ok { memBytes := memLimit.Value() writeCgroupFile(filepath.Join(cgroupPath, "memory.max"), strconv.FormatInt(memBytes, 10)) } if cpuLimit, ok := resources.Limits[v1.ResourceCPU]; ok { // convert milliCPU (e.g., 2000m) to microseconds per 100ms period periodUs := int64(100000) quotaUs := int64(float64(cpuLimit.MilliValue()) * 100.0) // 2000m → 200000us writeCgroupFile(filepath.Join(cgroupPath, "cpu.max"), fmt.Sprintf("%d %d", quotaUs, periodUs)) } return nil } ```

百度AI infra校招面经 攒人品

全站热榜

创作者周榜

百度AI infra校招面经攒人品