8.4. 配置集群内存以满足容器内存和风险要求

1. 覆盖 JVM 最大堆大小。
2. 在可能的情况下，促使 JVM 向操作系统释放未使用的内存。
3. 确保正确配置了容器中的所有 JVM 进程。

流程

1. 配置 pod，以添加 MEMORY_REQUEST 和 MEMORY_LIMIT 小节：

   1. 创建一个类似以下示例的 YAML 文件：

      apiVersion: v1
      kind: Pod
      metadata:
        name: test
      spec:
        securityContext:
          runAsNonRoot: true
          seccompProfile:
            type: RuntimeDefault
        containers:
        - name: test
          image: fedora:latest
          command:
          - sleep
          - "3600"
          env:
          - name: MEMORY_REQUEST 1
            valueFrom:
              resourceFieldRef:
                containerName: test
                resource: requests.memory
          - name: MEMORY_LIMIT 2
            valueFrom:
              resourceFieldRef:
                containerName: test
                resource: limits.memory
          resources:
            requests:
              memory: 384Mi
            limits:
              memory: 512Mi
          securityContext:
            allowPrivilegeEscalation: false
            capabilities:
              drop: [ALL]

      1

      添加此小节来发现应用程序内存请求值。

      2

      添加此小节来发现应用程序内存限制值。

   2. 运行以下命令来创建 pod：

      $ oc create -f <file-name>.yaml

验证

1. 使用远程 shell 访问 pod：

   $ oc rsh test

2. 检查是否应用了请求的值：

   $ env | grep MEMORY | sort

   输出示例

   MEMORY_LIMIT=536870912
   MEMORY_REQUEST=402653184

1. 使用远程 shell 访问 pod：

   # oc rsh test

2. 运行以下命令，查看 /sys/fs/cgroup/memory/memory.oom_control 中的当前 OOM 终止计数：

   $ grep '^oom_kill ' /sys/fs/cgroup/memory/memory.oom_control

   输出示例

   oom_kill 0

3. 运行以下命令来引发一个 OOM kill：

   $ sed -e '' </dev/zero

   输出示例

   Killed

4. 运行以下命令查看 sed 命令的退出状态：

   $ echo $?

   输出示例

   137

   例如，137 代表容器进程以代码 137 退出，这表示它收到了 SIGKILL 信号。

5. 运行以下命令，查看 /sys/fs/cgroup/memory/memory.oom_control 中的 OOM 终止计数器：

   $ grep '^oom_kill ' /sys/fs/cgroup/memory/memory.oom_control

   输出示例

   oom_kill 1

   如果 pod 中的一个或多个进程遭遇 OOM 终止，那么当 pod 随后退出时（不论是否立即发生），它都将会具有原因为 OOMKilled 的 Failed 阶段。被 OOM 终止的 pod 可能会根据 restartPolicy 的值重启。如果不重启，复制控制器等控制器会看到 pod 的失败状态，并创建一个新 pod 来替换旧 pod。

   使用以下命令获取 pod 状态：

   $ oc get pod test

   输出示例

   NAME      READY     STATUS      RESTARTS   AGE
   test      0/1       OOMKilled   0          1m

   • 如果 pod 没有重启，请运行以下命令来查看 pod:

     $ oc get pod test -o yaml

     输出示例

     ...
     status:
       containerStatuses:
       - name: test
         ready: false
         restartCount: 0
         state:
           terminated:
             exitCode: 137
             reason: OOMKilled
       phase: Failed

   • 如果重启，运行以下命令来查看 pod:

     $ oc get pod test -o yaml

     输出示例

     ...
     status:
       containerStatuses:
       - name: test
         ready: true
         restartCount: 1
         lastState:
           terminated:
             exitCode: 137
             reason: OOMKilled
         state:
           running:
       phase: Running