| 用途 | 指定使用的 CPU 核 |
|---|---|
| 语法 | --cpuset-cpus="0,1" / "0-2" |
| 依据 | 宿主 nproc 与 /proc/cpuinfo |
示例
示例
nproc
docker run -d --cpuset-cpus="0,1" --name rt worker/rt:1.2.0
docker inspect -f '{{.HostConfig.CpusetCpus}}' rt核数受限的容器吞吐随绑定核数变化；NUMA 机器上跨节点绑定会放大内存访问延迟。
本包目录（366 条）
基础命令50 条镜像与构建107 条网络与存储52 条Compose 编排55 条
资源与安全50 条
- docker run --memory 内存硬限制
- docker run --cpus 限制 CPU
- 容器内使用非 root 用户运行
- 用 docker stats 验证限额生效
- 容器 OOM 的识别与处理
- daemon.json 常用加固项
- 容器默认没有资源限制
- --privileged 的影响与替代方案
- 内核能力收敛 --cap-drop / --cap-add
- 加固运行基线组合命令
- docker update 动态调整资源限制
- 挂载 docker.sock 的风险与控制
- 环境变量传密钥的泄露面
- docker run --pids-limit 限制进程数
- seccomp 系统调用过滤
- 批量审计高危容器配置
- inspect 核对容器资源限额
- 只读根文件系统 --read-only
- docker run --ulimit 设置进程资源上限
- 按 digest 固定部署镜像
- 禁止权限提升 no-new-privileges
- 远程 API 暴露与 TLS 保护
- docker run --cap-add 精细补能力
- docker scout 官方漏洞扫描
- docker run --cpuset-cpus 绑定 CPU 核
- 用户命名空间映射 userns-remap
- docker 组成员等效 root 的审计
- Trivy 镜像漏洞扫描
- docker run --cpu-shares 相对权重
- rootless 模式运行 Docker
- docker run --memory-reservation 内存软限制
- 确认 cgroup 版本与驱动
- AppArmor 与容器配置校验
- docker run --shm-size 调整共享内存
- docker run --memory-swap 交换空间控制
- --pid=host 等宿主命名空间审计
- 用 socket 代理收敛 Docker API
- Falco 运行时行为检测
- docker run --oom-score-adj 调整 OOM 优先级
- cosign 镜像签名验证
- docker run --cpu-period / --cpu-quota 精确配额
- 容器 swap 倾向 --memory-swappiness
- docker run --device 最小设备授权
- Docker Bench 基线自查
- docker run --blkio-weight 块 IO 权重
- docker run --sysctl 内核参数（白名单）
- 容器内 sudo 的检查与清理
- SELinux 卷标签 :z 与 :Z
- 凭据助手 credential helper
- docker run --cgroup-parent 指定父 cgroup
docker run --cpuset-cpus 绑定 CPU 核
把容器固定到指定 CPU 核上运行：用于隔离敏感服务的调度抖动，或把实时性要求高的负载与噪声邻居错开。
易错点
- 把多个高负载容器绑到同一组核上会互相拖慢，绑定前先看宿主核数分布
- 绑核不改变内存与 IO 争抢，别指望它解决所有性能抖动
数据来源与参考
- Docker 官方 CLI 参考：docker run --cpuset-cpus（docs.docker.com）