Kubernetes 中 Docker 容器的内存 Swap 控制需通过节点级 kubelet 配置与运行时协同实现，不支持 Pod YAML 直接设置；必须启用系统 Swap、配置 kubelet --fail-swap-on=false 及 memorySwap.swapBehavior=LimitedSwap，并确保 cgroups v2/v1 swap accounting 开启，方可精准限制容器 Swap 使用。
在 Kubernetes 中，Docker 容器的内存 Swap 控制**不由 Pod YAML 直接暴露参数管理**，而是通过节点级 kubelet 配置与底层容器运行时协同实现。Swap 不是 Pod 级资源，不能像 CPU 或 memory limits 那样为单个容器单独设置 swap 上限。精准控制的关键在于：**统一管控节点 Swap 启用状态 + 显式禁用或限制全局 Swap 行为 + 确保容器运行时尊重 cgroups swap 限制**。
必须先启用并配置 kubelet 的 Swap 支持
Kubernetes 默认禁止节点使用 Swap——kubelet 启动时若检测到 Swap 已启用，会直接退出（除非显式允许）。要让 Swap 可控，需两步：
- 在每个目标工作节点上启用系统 Swap（如：
fallocate -l 2G /swapfile && mkswap /swapfile && swapon /swapfile） - 修改 kubelet 启动参数，添加
--fail-swap-on=false；同时确保 kubelet 配置中memorySwap字段被正确定义（KubeletConfiguration v1beta1+ 支持） - 重启 kubelet：
sudo systemctl daemon-reload && sudo systemctl restart kubelet
选择并固化 Swap 行为策略（Linux 节点）
从 v1.22 开始，Kubernetes 支持通过 memorySwap.swapBehavior 设置节点级 Swap 策略。该策略决定所有 Pod 的 swap 分配逻辑，不可 per-Pod 覆盖：
-
NoSwap（默认）：完全禁用 Swap，所有容器仅能使用物理内存；
--memory-swap在 runtime 层被忽略 -
UnlimitedSwap：允许容器使用任意可用 Swap（等效于
--memory-swap=-1），风险极高，不推荐 -
LimitedSwap：启用 Swap，且强制容器遵守
--memory和--memory-swap的联合限制（即 Docker 原生语义）——这是唯一支持“精准控制”的模式
配置示例（KubeletConfiguration）：
kind: KubeletConfiguration apiVersion: kubelet.config.k8s.io/v1beta1 memorySwap: swapBehavior: LimitedSwap
让容器真正受控：依赖 Docker/Containerd 的 cgroups v2 支持
即使 kubelet 允许 Swap，容器能否实际受限，还取决于底层运行时是否启用 cgroups swap accounting：
- 确认节点内核启动参数含
systemd.unified_cgroup_hierarchy=1 systemd.swap_account=1（cgroups v2）或cgroup_enable=memory swapaccount=1（cgroups v1） - 检查：
cat /proc/cmdline | grep -E "(swap_account|systemd\.swap_account)"，无输出则需重装内核或更新 GRUB - 验证运行时行为：部署一个带
resources.limits.memory的 Pod 后，进入其容器执行：cat /sys/fs/cgroup/memory.swap.max（v2）或cat /sys/fs/cgroup/memory/memory.memsw.limit_in_bytes（v1）
若返回值为max或远大于memory.max，说明 swap 未生效或未限制
生产环境推荐的防护组合策略
不追求“用 Swap 缓冲”，而追求“防失控、保稳定”：
-
关键服务（API、DB Proxy、监控组件）：节点设
swapBehavior: NoSwap，Pod 中只设memory: 1Gi，不配memorySwap；彻底规避换页延迟与 I/O 波动 -
批处理类工作负载（离线计算、ETL）：节点启用
LimitedSwap，并在容器镜像构建时显式声明硬限制（如 Dockerfile 中写STOPSIGNAL SIGTERM并配合健康探针），避免因 swap 滥用拖垮节点 -
绝对禁止：
swapBehavior: UnlimitedSwap、宿主机 Swap 未配但 kubelet 强行开启、容器内应用自行调用mlock()锁定内存却不限制总量
