华为云 CCE 容器资源隔离与调优：从 Requests、Limits 到稳定性验证

容器化并不意味着资源问题会自动消失。相反，当多个业务 Pod 共享节点时，CPU 争抢、内存突增和资源配置失衡都可能放大故障影响。在华为云 CCE 中，合理设置容器资源请求与限制，可以帮助调度器做出更可靠的放置决策，也能降低单个工作负载影响其他业务的风险。

理解 Requests 与 Limits 的职责

Requests 表示容器运行所需的资源基线。调度器主要依据 Pod 的 Requests 判断节点是否有足够的可分配资源，因此请求值过高会降低集群装箱率，请求值过低则可能造成节点实际负载远超调度预期。Limits 表示容器可使用资源的上限：CPU 超出限制时通常会被节流，内存超过限制则可能触发 OOM 终止。

CPU 与内存的行为并不相同。CPU 是可压缩资源，繁忙时可以通过调度限制使用量；内存是不可压缩资源，超过限制可能导致进程被杀。因此，内存限制应结合真实峰值和安全余量设定，不宜简单照搬 CPU 的配置策略。

通过 QoS 识别资源保障等级

Kubernetes 根据容器的 Requests 和 Limits 为 Pod 划分 QoS 等级。Guaranteed 通常要求 Pod 中每个容器的 CPU、内存 Requests 与 Limits 分别相等；Burstable 表示至少配置了部分资源请求或限制，但未满足 Guaranteed 条件；没有设置 Requests 和 Limits 的 Pod 通常属于 BestEffort。在节点内存压力下，BestEffort Pod 通常更容易成为驱逐对象。QoS 不是业务优先级的完整替代方案，但可以作为资源治理的重要参考。

配置示例：为应用设置资源边界

以下示例为 Web 服务配置 CPU 和内存的请求值与限制值。数值仅用于说明，实际配置应结合压测结果、历史监控数据和业务峰值调整。上线前还应确认节点规格、Pod 数量及系统组件预留资源，避免把节点可分配容量全部分配给业务容器。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-service
spec:
  replicas: 3
  selector:
    matchLabels:
      app: web-service
  template:
    metadata:
      labels:
        app: web-service
    spec:
      containers:
        - name: web
          image: nginx:1.27
          resources:
            requests:
              cpu: "500m"
              memory: "512Mi"
            limits:
              cpu: "1"
              memory: "1Gi"

其中 500m 表示半个 CPU 核，1Gi 表示 1 GiB 内存。Requests 用于调度决策，并不意味着容器始终独占这些资源；Limits 则约束容器可使用的最大资源。对于对延迟敏感的服务，应特别关注 CPU 限制过低导致的节流现象。

建立可持续的调优闭环

首先观察一段完整业务周期内的 CPU 使用量、内存工作集、重启次数、OOM 事件和节点压力，区分常态负载与短时峰值。随后用观测数据调整 Requests，使其能够反映合理的调度基线；再根据稳定性要求设置 Limits。若出现持续 CPU 节流，应检查 CPU Limits 是否过紧，也要排查节点超分带来的竞争；若发生 OOM，则需分析应用堆内存、缓存及非堆内存，而不是只扩大限制值。

在 CCE 集群中，可以结合监控与告警持续跟踪容器和节点指标，并在变更后执行负载测试及滚动发布验证。每次调整宜控制范围，记录变更前后的延迟、吞吐和资源曲线。对于波动明显或无法准确估算资源需求的服务，应优先补齐监控和容量评估，再逐步收紧资源边界。

总结

资源隔离的目标不是把每个容器限制得越小越好，而是在调度效率、性能稳定和故障影响范围之间取得平衡。理解 Requests、Limits 与 QoS 的作用，结合真实监控数据逐步调优，并通过压测和发布验证形成闭环，才能让华为云 CCE 上的容器资源配置既可控又可靠。