进程资源限制
章节标题
进程资源限制是Linux系统中重要的安全和性能管理机制，通过限制进程对系统资源的使用，可以防止单个进程消耗过多资源导致系统不稳定，同时也可以提高系统的安全性。本章节将详细介绍进程资源限制的概念、配置方法和管理工具。
核心知识点讲解
1. 进程资源限制的概念
进程资源限制是指Linux系统对进程可以使用的系统资源（如CPU时间、内存、文件描述符等）进行的限制。这些限制可以防止单个进程消耗过多资源，导致系统不稳定或其他进程无法正常运行。
Linux系统中，进程资源限制主要通过以下两种方式实现：
- ulimit命令：用于临时修改当前shell及其子进程的资源限制
- limits.conf文件：用于永久设置用户级别的资源限制
- cgroups技术：用于更精细地控制进程组的资源使用
2. ulimit命令
ulimit命令用于查看和修改当前shell及其子进程的资源限制。它支持多种选项，用于查看和修改不同类型的资源限制。
常用选项
-a：显示所有资源限制-c：设置核心文件大小限制-d：设置数据段大小限制-e：设置进程优先级（nice值）-f：设置文件大小限制-i：设置信号队列大小限制-l：设置锁定内存大小限制-m：设置物理内存使用限制-n：设置文件描述符数量限制-p：设置管道大小限制-q：设置POSIX消息队列大小限制-r：设置实时优先级限制-s：设置栈大小限制-t：设置CPU时间限制-u：设置最大进程数限制-v：设置虚拟内存使用限制
3. limits.conf文件
limits.conf文件位于/etc/security/limits.conf，用于永久设置用户级别的资源限制。该文件的配置会在用户登录时应用，对用户的所有进程生效。
文件格式
<domain> <type> <item> <value><domain>：可以是用户名、组名（前面加@）或通配符（*）<type>：可以是soft（软限制，警告但不阻止）或hard（硬限制，强制执行）<item>：资源类型，如nofile（文件描述符）、nproc（进程数）等<value>：限制值
4. cgroups技术
cgroups（Control Groups）是Linux内核提供的一种机制，用于更精细地控制进程组的资源使用。它可以限制、记录和隔离进程组对CPU、内存、磁盘I/O和网络等资源的使用。
cgroups的主要功能
- 资源限制：限制进程组可以使用的资源数量
- 资源监控：监控进程组的资源使用情况
- 资源隔离：隔离不同进程组的资源使用
- 资源优先级：设置不同进程组的资源使用优先级
实用案例分析
案例1：使用ulimit命令临时修改资源限制
场景描述
在运行一个需要大量文件描述符的应用程序时，系统默认的文件描述符限制可能不够用，需要临时增加限制。
解决方案
使用ulimit命令临时增加文件描述符限制：
# 查看当前文件描述符限制
ulimit -n
# 临时设置文件描述符限制为65535
ulimit -n 65535
# 验证设置是否生效
ulimit -n案例2：使用limits.conf文件永久设置资源限制
场景描述
为了提高系统安全性，需要限制普通用户的进程数和文件描述符数量，同时为数据库用户设置更高的限制。
解决方案
编辑/etc/security/limits.conf文件：
# 编辑limits.conf文件
sudo vi /etc/security/limits.conf
# 添加以下配置
# 限制普通用户的进程数为1024
* soft nproc 1024
* hard nproc 2048
# 限制普通用户的文件描述符数量为4096
* soft nofile 4096
* hard nofile 8192
# 为数据库用户设置更高的限制
@database soft nproc 4096
@database hard nproc 8192
@database soft nofile 16384
@database hard nofile 32768案例3：使用cgroups限制进程组的CPU使用
场景描述
在多用户系统中，需要限制某个用户的进程组只能使用50%的CPU资源，以防止其占用过多CPU资源影响其他用户。
解决方案
使用cgroups限制进程组的CPU使用：
# 创建cgroup目录
sudo mkdir -p /sys/fs/cgroup/cpu/user_limit
# 设置CPU使用率限制（50%）
sudo echo 50000 > /sys/fs/cgroup/cpu/user_limit/cpu.cfs_quota_us
# 将当前shell进程加入cgroup
sudo echo $$ > /sys/fs/cgroup/cpu/user_limit/cgroup.procs
# 验证设置是否生效
cat /sys/fs/cgroup/cpu/user_limit/cgroup.procs代码示例
示例1：使用ulimit命令查看和修改资源限制
# 查看所有资源限制
ulimit -a
# 查看文件描述符限制
ulimit -n
# 设置文件描述符限制为65535
ulimit -n 65535
# 查看进程数限制
ulimit -u
# 设置进程数限制为1024
ulimit -u 1024
# 查看CPU时间限制
ulimit -t
# 设置CPU时间限制为3600秒（1小时）
ulimit -t 3600示例2：配置limits.conf文件
# 编辑limits.conf文件
sudo vi /etc/security/limits.conf
# 添加以下配置
# 限制普通用户的资源使用
* soft nproc 1024
* hard nproc 2048
* soft nofile 4096
* hard nofile 8192
* soft core 0
* hard core 0
# 为root用户设置更高的限制
root soft nproc unlimited
root hard nproc unlimited
root soft nofile 65536
root hard nofile 65536示例3：使用cgroups限制进程资源
# 安装cgroup-tools（如果未安装）
sudo apt install cgroup-tools # Debian/Ubuntu
sudo yum install libcgroup-tools # CentOS/RHEL
# 创建cgroup
sudo cgcreate -g cpu,memory:test_group
# 设置CPU限制（20%）
sudo cgset -r cpu.cfs_quota_us=20000 test_group
# 设置内存限制（100MB）
sudo cgset -r memory.limit_in_bytes=100M test_group
# 运行进程并加入cgroup
sudo cgexec -g cpu,memory:test_group stress --cpu 1 --memory 200 --vm 1
# 查看cgroup状态
sudo cgget -g cpu,memory:test_group实践练习
练习1：使用ulimit命令临时修改资源限制
- 查看当前系统的文件描述符限制
- 将文件描述符限制临时设置为16384
- 验证设置是否生效
- 尝试运行一个需要大量文件描述符的程序，观察其运行情况
练习2：配置limits.conf文件永久设置资源限制
- 编辑
/etc/security/limits.conf文件 - 为普通用户设置以下限制：
- 进程数软限制：1024，硬限制：2048
- 文件描述符软限制：4096，硬限制：8192
- 核心文件大小限制：0
- 为root用户设置以下限制：
- 进程数：无限制
- 文件描述符软限制：65536，硬限制：65536
- 保存文件并重新登录，验证设置是否生效
练习3：使用cgroups限制进程资源
- 安装cgroup-tools工具
- 创建一个名为
web_server的cgroup - 为该cgroup设置以下限制：
- CPU使用率：30%
- 内存使用：500MB
- 运行一个Web服务器进程并将其加入该cgroup
- 查看cgroup的状态，验证限制是否生效
总结
本章节详细介绍了Linux系统中进程资源限制的概念、配置方法和管理工具，包括：
进程资源限制的概念：通过限制进程对系统资源的使用，防止单个进程消耗过多资源导致系统不稳定。
ulimit命令：用于临时修改当前shell及其子进程的资源限制，支持多种选项用于查看和修改不同类型的资源限制。
limits.conf文件：用于永久设置用户级别的资源限制，配置会在用户登录时应用。
cgroups技术：用于更精细地控制进程组的资源使用，可以限制、记录和隔离进程组对CPU、内存、磁盘I/O和网络等资源的使用。
通过合理设置进程资源限制，可以提高系统的稳定性和安全性，防止单个进程消耗过多资源影响其他进程的正常运行。同时，cgroups技术的应用也为系统资源管理提供了更精细的控制手段，适用于各种复杂的系统环境。