Linux如何实现用户资源隔离 cgroups基础配置指南-linux运维-PHP中文网

Linux如何实现用户资源隔离 cgroups基础配置指南

P粉602998670

发布： 2025-07-06 09:08:01

原创

293人浏览过

cgroups是linux系统中实现用户资源隔离的核心机制，它通过限制、记录和隔离进程组的资源使用来提升系统稳定性。其重要性体现在可防止某一用户或进程过度占用cpu、内存等资源而导致其他服务崩溃。查看系统是否支持cgroups可通过命令mount | grep cgroup验证挂载情况；创建内存限制cgroup需执行mkdir创建子组、设置memory.limit_in_bytes值并添加进程至tasks文件；限制cpu使用则通过配置cpu.cfs_period_us与cpu.cfs_quota_us参数控制配额，并将进程加入对应组；使用systemd管理cgroup则可通过在.service文件中添加memorymax等指令简化操作流程。

Linux如何实现用户资源隔离 cgroups基础配置指南

在Linux系统中，实现用户资源隔离的一个核心机制是cgroups（Control Groups）。它允许你限制、记录和隔离进程组使用的物理资源（如CPU、内存、磁盘I/O等）。对于需要多用户共享服务器资源的场景，比如云主机、容器服务或者开发测试环境，合理配置cgroups能有效防止资源争抢，提高系统稳定性。

下面是一些基础但实用的cgroups配置方法，适合刚接触系统资源管理的朋友。

什么是cgroups？为什么它对资源隔离重要？

cgroups 是 Linux 内核提供的一种机制，可以将一组进程与一组资源限制绑定。换句话说，它可以让你为某个用户或进程分配固定的CPU时间、内存上限、IO带宽等。这样即使某个用户的程序“疯跑”，也不会拖垮整个系统。

举个例子：假设你在一台服务器上运行了多个用户的Web应用，其中一个应用突然占用全部内存，其他服务就可能崩溃。通过cgroups设置每个用户组的内存上限后，这种问题就可以被有效控制。

如何查看系统是否支持cgroups？

大多数现代Linux发行版默认都启用了cgroups功能。你可以通过以下命令检查：

mount | grep cgroup

登录后复制

如果看到类似下面的输出，说明你的系统已经挂载了cgroups：

tmpfs on /sys/fs/cgroup type tmpfs ...
cgroup on /sys/fs/cgroup/systemd type cgroup ...

登录后复制

如果没有输出，你可能需要手动挂载，具体方式取决于你使用的cgroup版本（v1 或 v2）。

常见做法是在/etc/default/grub中添加 systemd.unified_cgroup_hierarchy=0 来切换版本，然后更新grub配置。

怎么创建一个简单的cgroup来限制内存？

以限制内存为例，我们来看看怎么创建一个cgroup并限制它的内存使用。

步骤如下：

确保你有权限操作 /sys/fs/cgroup 目录。
创建一个新的子组，比如叫 user_limit：
```
sudo mkdir /sys/fs/cgroup/memory/user_limit
```
登录后复制

设置该组的内存限制（比如512MB）：

echo 536870912 > /sys/fs/cgroup/memory/user_limit/memory.limit_in_bytes

登录后复制

把某个进程加入这个组（比如PID为1234）：
```
echo 1234 > /sys/fs/cgroup/memory/user_limit/tasks
```
登录后复制

现在，进程1234最多只能使用512MB内存。如果尝试超出这个限制，系统会根据内存回收策略进行处理，比如OOM Killer杀掉该进程。

如何限制CPU使用？

除了内存，你还可以用cgroups来限制CPU使用量。这里以CPU配额为例。

假设你想让一个任务最多使用50%的CPU时间（单核情况下），可以这样做：

创建CPU子组：
```
sudo mkdir /sys/fs/cgroup/cpu/mygroup
```
登录后复制

设置周期时间和配额（单位是微秒）：

echo 100000 > /sys/fs/cgroup/cpu/mygroup/cpu.cfs_period_us
echo 50000 > /sys/fs/cgroup/cpu/mygroup/cpu.cfs_quota_us

登录后复制

这表示每100ms内最多执行50ms的CPU时间，也就是50%的CPU配额。

添加进程到该组：

echo 1234 > /sys/fs/cgroup/cpu/mygroup/tasks

登录后复制

这样，这个进程就不能“吃满”CPU了。

使用systemd简化cgroup管理

如果你使用的是较新的Linux发行版，通常都集成了systemd，它本身就基于cgroups v2构建。你可以通过unit文件来定义资源限制，而不需要手动操作cgroup目录。

比如，想限制某个服务的内存，在.service文件里加一行：

MemoryMax=512M

登录后复制

这样启动的服务就会自动受到限制。

systemd的好处在于它帮你做了很多底层管理工作，避免了手动维护cgroup目录的风险和复杂度。

基本上就这些。cgroups是个很强大的工具，虽然看起来有点底层，但只要掌握了基本操作，就能在资源管理方面游刃有余。刚开始可能会觉得配置起来有些繁琐，但一旦熟悉之后，你会发现它非常灵活且实用。

以上就是Linux如何实现用户资源隔离 cgroups基础配置指南的详细内容，更多请关注php中文网其它相关文章！