本文通過對比runC容器和安全沙箱（runV）容器的性能和創建方式，讓您了解安全沙箱容器的優勢以便更好地使用安全沙箱容器。

runC容器和安全沙箱（runV）容器方案對比

配置 runC容器 安全沙箱（runV）容器
容器引擎 Docker、Containerd Containerd
容器所在節點型號 ECS、EBM EBM
容器內核 與宿主機共享內核 獨占內核
容器隔離方式 Cgroups和Namespace 輕量虛擬機
Rootfs Graph Driver OverlayFS OverlayFS
Rootfs IO限速 Cgroups 否
NAS直掛 否 是
云盤直掛 否 否
容器日志文件采集 logtail可直接從節點側采集容器內的日志。 logtail sidecar，詳情請參見通過Sidecar-CRD方式采集容器文本日志。
Pod Overhead 無 Memory：M=64 Mi+Pod內存申請 *2%。當M>512，M最終取值為512 Mi。當M<64，M最終取值為64。

runC Pod和安全沙箱（runV）Pod的創建方式對比

您可以通過kubectl命令行工具連接容器服務Kubernetes版（ACK）集群，請參見通過kubectl工具連接集群。

  • 創建runC Pod
    1. 可選：通過runtimeClassName: runc指定使用runC容器運行時。
      說明 您也可以不配置，Pod會用默認的容器運行時runC。
    2. 執行以下命令創建runC Pod。 
      cat <<EOF | kubectl create -f -
apiVersion: v1
kind: Pod
metadata:
  name: busybox-runc
  labels:
    app: busybox-runc
spec:
  containers:
  - name: busybox
    image: registry.cn-hangzhou.aliyuncs.com/acs/busybox:v1.29.2
    command:
    - tail
    - -f
    - /dev/null 
    resources:
      limits:
        cpu: 1000m
        memory: 512Mi
      requests:
        cpu: 1000m
        memory: 512Mi
EOF
  • 創建安全沙箱容器（runV）
    1. 通過runtimeClassName: runv指定使用安全沙箱容器運行時。
    2. 可選：執行以下命令查看集群中已經存在的runv這個RuntimeClass對象。 
      kubectl get runtimeclass runv -o yaml
      說明 安全沙箱容器集群中默認創建了RuntimeClass對象runv。
    3. 執行以下命令創建安全沙箱Pod。 
      cat <<EOF | kubectl create -f -
apiVersion: v1
kind: Pod
metadata:
  name: busybox-runv
  labels:
    app: busybox-runv
spec:
  runtimeClassName: runv
  nodeSelector:
    alibabacloud.com/container-runtime: Sandboxed-Container.runv
  containers:
  - name: busybox
    image: registry.cn-hangzhou.aliyuncs.com/acs/busybox:v1.29.2
    command:
    - tail
    - -f
    - /dev/null
    resources:
      limits:
        cpu: 1000m
        memory: 512Mi
      requests:
        cpu: 1000m
        memory: 512Mi
EOF
      注意 如果您的Kubernetes版本小于1.16（不包括1.16），需添加以下nodeSelector配置；如果您的Kubernetes版本在1.16（包括1.16）以上則不需要添加。 
      nodeSelector:
    alibabacloud.com/container-runtime: Sandboxed-Container.runv
    4. 執行以下命令查看創建的Pod。如果輸出結果為runv，則表示Pod已經運行在安全沙箱內了。 
      kubectl get pod busybox-runv -o jsonpath={.spec.runtimeClassName}
    5. 執行以下命令登錄容器查看CPU和內存規格。 
      kubectl exec -ti pod busybox-runv /bin/sh
/ # cat /proc/meminfo | head -n1
MemTotal:        1130692 kB
/ # cat /proc/cpuinfo | grep processor
processor    : 0

      通過以上命令返回的結果，可以看出CPU核數并非宿主機CPU核數，內存總大小為Pod內存與Overhead內存之和（系統會消耗一些內存，所以看到的內存會少一些）。