Linux控制组以及进程隔离

最新推荐文章于 2024-06-18 09:36:35 发布
最新推荐文章于 2024-06-18 09:36:35 发布
阅读量1.1k 收藏 1
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/M2l0ZgSsVc7r69eFdTj/article/details/94364116
版权

640?wx_fmt=jpeg

这是关于Linux容器介绍的第一篇，主要介绍了Linux控制组：control groups，也叫做CGroups，以及进程隔离。通过一个简单的例子让你很快学习到Linux控制组是如何工作的。以及哪些库可以让你方便快捷的使用控制组。每个人都听说过容器，那么容器到底是什么呢？
软件的发展使这项技术以多种方式得以实现，而Docker则是最流行的一种。因为容器的可移植性以及它隔离工作环境的特点可以限制它对底层计算的影响以及影响范围，越来越多数据中心开始采用这项技术。为了全面了解这项技术，你首先需要了解是哪些技术实现了容器。
附注：人们总喜欢问容器和虚拟机的区别。它们都有各自特定的目的，并没有太多相似的地方。并且一个并不会淘汰掉另一个。一个容器指的是一个轻量级的环境，在这个环境中你可以启动一个或者多个应用，它们都与外界隔离，并且这个环境的性能与裸机相当。但如果你需要运行一整个操作系统或者生态系统，又或者你需要运行与底层环境不兼容的应用程序，那么你需要选择虚拟机。


Linux控制组

640?wx_fmt=png


说实话，一些未知的软件应用可能需要被控制或限制——至少是为了稳定性或者某种程度上的安全性。很多时候，一个bug或者仅仅只是烂代码就有可能破坏掉整个机器甚至可能削弱整个生态。幸运的是，有一种方式可以控制相同的应用程序，Linux控制组（cgroups）是一个内核功能，用于限制，记录和隔离一个或多个进程对CPU，内存，磁盘I/O，以及网络的使用量及访问。
控制组技术最初是由谷歌开发的，最终在2.6.24版本（2008年1月）中并入Linux内核主线。这项技术被部分重新设计，添加了kernfs（用于分割一些sysfs逻辑），这些改变被合并到3.15和3.16版本的内核中。
控制组主要为了提供统一接口来管理进程或者整个操作系统级别的虚拟化，包括Linux 容器，或者LXC（将在之后的文章中详细介绍这项技术）。控制组框架提供了以下功能：

  • 资源限制：一个控制组可以配置成不能超过指定的内存限制或是不能使用超过一定数量的处理器或限制使用特定的外围设备。

  • 优先级：一个或者多个控制组可以配置成使用更少或者更多的CPU或者磁盘I/O吞吐量。

  • 记录：一个控制组的资源使用情况会被监督以及测量。

  • 控制：进程组可以被冻结，暂停或者重启。


一个控制组可以包含一个或者多个进程，这些进程将全部绑定于同一组限制。控制组也可以继承，这意味着一个子组可以继承其父组限制。
Linux内核为控制组技术的一系列控制器以及子系统提供了访问。控制器将负责将特定类型的系统资源分配给一个控制组（包含一个或者多个进程）。例如， 内存控制器会限制内存使用而 cpuacct控制器会监控CPU的使用情况。
你可以直接或者间接（通过LXC，libvirt或者Docker）访问及管理控制组，这里我首先介绍使用sysfs以及 libgroups库。接下来的示例需要你预先安装一个必须的包。在Red Hat Enterprise Linux或者CentOS里面，在命令行输入以下命令： 
$ sudo yum install libcgroup libcgroup-tools

如果是Ubuntu或者Debian，输入： 
$ sudo apt-get install libcgroup1 cgroup-tools

我将使用一个简单的shell脚本文件test.sh作为示例应用程序，它将会在无限 while循环中运行以下两个命令。 
$ cat test.sh	
#!/bin/sh	
while [ 1 ]; do	
        echo "hello world"	
        sleep 60	
done

手动方法

640?wx_fmt=png


安装必要的包后，你可以直接通过sysfs的目录结构来配置你的控制组，例如，要在内存子系统中创建一个叫做 foo的控制组，只需要在 /sys/fs/cgroup/memory底下新建一个叫做 foo的目录： 
$ sudo mkdir /sys/fs/cgroup/memory/foo

默认情况下，每个新建的控制组将会继承对系统整个内存池的访问权限。但对于某些应用程序，这些程序拒绝释放已分配的内存并继续分配更多内存，这种默认继承方式显然不是个好主意。要使程序的内存限制变得更为合理，你需要更新文件 memory.limit_in_bytes。
限制控制组 foo下运行的任何应用的内存上限为50MB： 
$ echo 50000000 | sudo tee	
 ↪/sys/fs/cgroup/memory/foo/memory.limit_in_bytes}}}	
验证设置：	
{{{$ sudo cat memory.limit_in_bytes	
50003968

请注意，回读的值始终是内核页面大小的倍数（即4096字节或4KB）。这个值是 内存的最小可分配大小。
启动应用程序test.sh： 
$ sh ~/test.sh

使用进程ID（PID），将应用程序移动到 内存控制器底下的控制组 foo： 
$ echo 2845 > /sys/fs/cgroup/memory/foo/cgroup.procs

使用相同的PID，列出正在运行的进程并验证它是否在正确的控制组下运行： 
$ ps -o cgroup 2845	
CGROUP	
8:memory:/foo,1:name=systemd:/user.slice/user-0.slice/	
↪session-4.scope

你还可以通过读取文件来监控控制组正在使用的资源。在这种情况下，你可以查看你的进程（以及生成的子进程）被分配的内存大小。 
$ cat /sys/fs/cgroup/memory/foo/memory.usage_in_bytes	
253952

当进程“迷路”时

640?wx_fmt=png


现在让我们重新创建相同的场景，但这次我们将控制组 foo的内存限制从50MB改为500 bytes： 
$ echo 500 | sudo tee /sys/fs/cgroup/memory/foo/	
↪memory.limit_in_bytes

注意：如果任务超出其定义的限制，内核将进行干预，并在某些情况下终止该任务。
同样，当您重新读取值时，它将始终是内核页面大小的倍数。因此，虽然您将其设置为500字节，但它实际上被设置为4 KB： 
$ cat /sys/fs/cgroup/memory/foo/memory.limit_in_bytes	
4096

启动应用程序test.sh，将其移动到控制组下并监视系统日志： 
$ sudo tail -f /var/log/messages	
Oct 14 10:22:40 localhost kernel: sh invoked oom-killer:	
 ↪gfp_mask=0xd0, order=0, oom_score_adj=0	
Oct 14 10:22:40 localhost kernel: sh cpuset=/ mems_allowed=0	
Oct 14 10:22:40 localhost kernel: CPU: 0 PID: 2687 Comm:	
 ↪sh Tainted: G	
OE  ------------   3.10.0-327.36.3.el7.x86_64 #1	
Oct 14 10:22:40 localhost kernel: Hardware name: innotek GmbH	
VirtualBox/VirtualBox, BIOS VirtualBox 12/01/2006	
Oct 14 10:22:40 localhost kernel: ffff880036ea5c00	
 ↪0000000093314010 ffff88000002bcd0 ffffffff81636431	
Oct 14 10:22:40 localhost kernel: ffff88000002bd60	
 ↪ffffffff816313cc 01018800000000d0 ffff88000002bd68	
Oct 14 10:22:40 localhost kernel: ffffffffbc35e040	
 ↪fffeefff00000000 0000000000000001 ffff880036ea6103	
Oct 14 10:22:40 localhost kernel: Call Trace:	
Oct 14 10:22:40 localhost kernel: [<ffffffff81636431>]	
 ↪dump_stack+0x19/0x1b	
Oct 14 10:22:40 localhost kernel: [<ffffffff816313cc>]	
 ↪dump_header+0x8e/0x214	
Oct 14 10:22:40 localhost kernel: [<ffffffff8116d21e>]	
 ↪oom_kill_process+0x24e/0x3b0	
Oct 14 10:22:40 localhost kernel: [<ffffffff81088e4e>] ?	
 ↪has_capability_noaudit+0x1e/0x30	
Oct 14 10:22:40 localhost kernel: [<ffffffff811d4285>]	
 ↪mem_cgroup_oom_synchronize+0x575/0x5a0	
Oct 14 10:22:40 localhost kernel: [<ffffffff811d3650>] ?	
 ↪mem_cgroup_charge_common+0xc0/0xc0	
Oct 14 10:22:40 localhost kernel: [<ffffffff8116da94>]	
 ↪pagefault_out_of_memory+0x14/0x90	
Oct 14 10:22:40 localhost kernel: [<ffffffff8162f815>]	
 ↪mm_fault_error+0x68/0x12b	
Oct 14 10:22:40 localhost kernel: [<ffffffff816422d2>]	
 ↪__do_page_fault+0x3e2/0x450	
Oct 14 10:22:40 localhost kernel: [<ffffffff81642363>]	
 ↪do_page_fault+0x23/0x80	
Oct 14 10:22:40 localhost kernel: [<ffffffff8163e648>]	
 ↪page_fault+0x28/0x30	
Oct 14 10:22:40 localhost kernel: Task in /foo killed as	
 ↪a result of limit of /foo	
Oct 14 10:22:40 localhost kernel: memory: usage 4kB, limit	
 ↪4kB, failcnt 8	
Oct 14 10:22:40 localhost kernel: memory+swap: usage 4kB,	
 ↪limit 9007199254740991kB, failcnt 0	
Oct 14 10:22:40 localhost kernel: kmem: usage 0kB, limit	
 ↪9007199254740991kB, failcnt 0	
Oct 14 10:22:40 localhost kernel: Memory cgroup stats for /foo:	
 ↪cache:0KB rss:4KB rss_huge:0KB mapped_file:0KB swap:0KB	
 ↪inactive_anon:0KB active_anon:0KB inactive_file:0KB	
 ↪active_file:0KB unevictable:0KB	
Oct 14 10:22:40 localhost kernel: [ pid ]   uid  tgid total_vm	
 ↪rss nr_ptes swapents oom_score_adj name	
Oct 14 10:22:40 localhost kernel: [ 2687]     0  2687    28281	
 ↪347     12        0             0 sh	
Oct 14 10:22:40 localhost kernel: [ 2702]     0  2702    28281	
 ↪50    7        0             0 sh	
Oct 14 10:22:40 localhost kernel: Memory cgroup out of memory:	
 ↪Kill process 2687 (sh) score 0 or sacrifice child	
Oct 14 10:22:40 localhost kernel: Killed process 2702 (sh)	
 ↪total-vm:113124kB, anon-rss:200kB, file-rss:0kB	
Oct 14 10:22:41 localhost kernel: sh invoked oom-killer:	
 ↪gfp_mask=0xd0, order=0, oom_score_adj=0	
[ ... ]

请注意，内核的Out-Of-Mempry Killer（也叫做oom-killer 内存不足杀手）在应用程序达到4KB限制时就会介入。它会杀死应用程序，应用程序将不再运行，你可以通过输入以下命令进行验证： 
$ ps -o cgroup 2687	
CGROUP

使用libcgroup

640?wx_fmt=png


之前描述的许多早期步骤都可以通过 libcgroup包中提供的管理工具进行简化。例如，使用 cgcreate二进制文件的单个命令即可创建sysfs条目和文件。
输入以下命令即可在 内存子系统下创建一个叫做 foo的控制组： 
$ sudo cgcreate -g memory:foo

注意：libcgroup提供了一种管理控制组中任务的机制。
使用与之前相同的方法，你就可以开始设置内存阈值： 
$ echo 50000000 | sudo tee	
 ↪/sys/fs/cgroup/memory/foo/memory.limit_in_bytes

验证新配置的设置： 
$ sudo cat memory.limit_in_bytes	
50003968

使用 cgexec二进制文件在控制组 foo中运行应用程序： 
$ sudo cgexec -g memory:foo ~/test.sh

使用它的进程ID - PID来验证应用程序是否在控制组和子系统（ 内存）下运行： 
$  ps -o cgroup 2945	
CGROUP	
6:memory:/foo,1:name=systemd:/user.slice/user-0.slice/	
↪session-1.scope

如果您的应用程序不再运行，并且您想要清理并删除控制组，则可以使用二进制文件 cgdelete来执行此操作。要从 内存控制器下删除控制组 foo，请输入： 
$ sudo cgdelete memory:foo

持久组

640?wx_fmt=png


您也可以通过一个简单的配置文件和服务的启动来完成上述所有操作。您可以在 /etc/cgconfig.conf文件中定义所有控制组名称和属性。以下为 foo组添加了一些属性： 
$ cat /etc/cgconfig.conf	
#	
#  Copyright IBM Corporation. 2007	
#	
#  Authors:     Balbir Singh <balbir@linux.vnet.ibm.com>	
#  This program is free software; you can redistribute it	
#  and/or modify it under the terms of version 2.1 of the GNU	
#  Lesser General Public License as published by the Free	
#  Software Foundation.	
#	
#  This program is distributed in the hope that it would be	
#  useful, but WITHOUT ANY WARRANTY; without even the implied	
#  warranty of MERCHANTABILITY or FITNESS FOR A PARTICULAR	
#  PURPOSE.	
#	
#	
# By default, we expect systemd mounts everything on boot,	
# so there is not much to do.	
# See man cgconfig.conf for further details, how to create	
# groups on system boot using this file.	
group foo {	
  cpu {	
    cpu.shares = 100;	
  }	
  memory {	
    memory.limit_in_bytes = 5000000;	
  }	
}

cpu.shares选项定义了该组的CPU优先级。默认情况下，所有组都继承1024 shares（CPU share指的是控制组中的任务被分配到的CPU的 time的优先级，即值越大，分配到的CPU time越多，这个值需大于等于2），即100%的CPU time（CPU time是CPU用于处理一个程序所花费的时间）。通过将 cpu.shares的值降低到更保守的值（如100），这个组将会被限制只能使用大概10%的CPU time。
就如之前讨论的，在控制组中运行的进程也可以被限制它能访问的CPUs（内核）的数量。将以下部分添加到同一个配置文件 cgconfig.conf中组名底下。 
cpuset {	
  cpuset.cpus="0-5";	
}

有了这个限制，这个控制组会将应用程序绑定到到0核到5核——也就是说，它只能访问系统上的前6个CPU核。
接下来，您需要使用 cgconfig服务加载此配置。首先，启用cgconfig以在系统启动时能够加载上述配置： 
$ sudo systemctl enable cgconfig	
Create symlink from /etc/systemd/system/sysinit.target.wants/	
↪cgconfig.service	
to /usr/lib/systemd/system/cgconfig.service.

现在，启动 cgconfig服务并手动加载相同的配置文件（或者您可以跳过此步骤直接重启系统）： 
$ sudo systemctl start cgconfig

在控制组 foo下启动该应用程序并将其绑定到您设置的内存和CPU限制： 
$ sudo cgexec -g memory,cpu,cpuset:foo ~/test.sh &

除了将应用程序启动到预定义的控制组之外，其余所有内容都将在系统重新启动后持续存在。但是，您可以通过定义依赖于 cgconfig服务的启动初始脚本来启动该应用程序，自动执行该过程。
总结

640?wx_fmt=png


通常来说，限制一个机器上一个或者多个任务的权限是必要的。控制组提供了这项功能，通过使用它，您可以对一些特别重要或无法控制的应用程序实施严格的硬件和软件限制。如果一个应用程序没有设置上限阈值或限制它可以在系统上消耗的内存量，cgroups可以解决这个问题。如果另一个应用程序没有CPU上的限制，那么cgroups可以再一次解决您的问题。您可以通过cgroup完成这么多工作，只需花一点时间，您就可以使用你的操作系统环境恢复稳定性，安全性和健全性。
在这个系列的第二篇中，我将会把焦点从控制组转移到Linux容器等技术是如何使用控制组的。
原文链接：https://www.linuxjournal.com/content/everything-you-need-know-about-linux-containers-part-i-linux-control-groups-and-process

640?wx_fmt=gif

Docker_
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Linux 操作系统原理 — 进程管理 — Namespace 系统资源隔离
烟云的计算
10-01 5134
目录 文章目录目录Linux NamespaceLinux Namespace 的类型 Linux Namespace Linux Namespace（命名空间）是一种操作系统层级的资源隔离技术，能够将 Linux 的全局资源，划分为 namespace 范围内的资源，而且不同 namespace 间的资源彼此透明，不同 namespace 里的进程无法感知到其它 namespace 里面的进程和资源。 Linux namespace 实现了 6 项资源隔离，基本上涵盖了一个小型操作系统的运行要素，包括主机
linux组账号的管理控制
LYJ_man的博客
05-18 419
问题 1)新建组账号stugrp，将GID设为600 2)为stugrp组添加三个成员用户（user01、root、zhangsan） 3)从stugrp组删除一个成员（user01） 4)重新定义stugrp组的成员列表（user02、zhangsan） 5)为stugrp组添加一个组管理员user01 6)以用户user01登入，把自己添加为stugrp组的成员，删除组成员user02 方案 ...
Cgroup - Linux 的 IO 资源隔离
linux内核，glusterfs, 无人机，机器人
01-20 1862
Hi ，我是 Zorro 。这是我的微博地址，我会不定期在这里更新文章，如果你有兴趣，可以来关注我呦。 另外，我的其他联系方式： Email: mini.jerry@gmail.com QQ: 30007147 本文PDF 今天我们来谈谈： Linux 的 IO 隔离 跟内存管理那部分复杂度类似， IO 的资源隔离要讲清楚也是比较麻烦的。这部分内容都是这样
开源项目推介：libcgroup——灵活掌控资源控制组
最新发布
gitblog_00034的博客
06-18 274
开源项目推介：libcgroup——灵活掌控资源控制组 项目地址:https://gitcode.com/libcgroup/libcgroup 在当代计算环境中，对系统资源的精细化管理变得日益重要。无论是云平台还是本地服务器集群，如何高效且公平地分配CPU、内存等关键资源成为了提升应用性能和用户体验的关键因素之一。今天，我们将带您深入了解一个开源项目——libcgroup，它为您提供了一种全新的...
linux内核分析及应用 -- Linux 的进程隔离技术与 Docker 容器
~~ LINUX ~~
11-06 2737
近两年容器技术突然变得很火热，几乎所有开发人员都在学习这个技术。技术人员并不见得一定比女性购物更加理智，有时候，选择一种新技术也仅仅是为了追赶时髦和潮流。 从实现的角度来讲，容器技术不是全新的发明，Docker 容器只是针对 Linux 内核提供的基础功能（例如 namespace、cgroup）进行了扩展。 本章不打算介绍所有与虚拟化相关的技术和实现方案，而是探讨和容器相关的虚拟化技术。主要...
linux 进程隔离Namespace 学习
岳来的博客
09-04 1587
linux 进程隔离Namespace 学习
C语言编写Linux守护进程实例
09-03
2. **环境隔离**：守护进程会断开与父进程的环境，如文件描述符、控制终端、会话和进程组，以确保独立运行。 3. **启动方式**：守护进程可以通过系统启动脚本、作业调度进程或其他程序启动。 编写C语言守护进程的...
linux 守护进程编写
07-30
2. 脱离控制终端，登录会话和进程组：方法是在第1点的基础上，调用setsid()使进程成为会话组长，并与原来的登录会话和进程组脱离。 3. 禁止进程重新打开控制终端：可以通过使进程不再成为会话组长来禁止进程重新打开...
编写Linux守护进程.pdf
09-07
此外，守护进程还需要改变工作目录（通常为根目录`/`），设置文件创建掩码（umask），以及可能需要进行进程组和会话领导者的转换，以完全脱离控制终端。 守护进程的可靠性是其重要特征，即使在出现系统错误的情况下...
02-Linux系统编程-进程
03-25
在Linux中表现为`task_struct`结构体，存储了关于进程的各种信息，如进程ID、状态（就绪、运行、挂起、停止）、CPU寄存器、虚拟地址空间、控制终端、当前工作目录、umask掩码、文件描述符表、信号信息、用户ID和组ID...
linux内存隔离,c - 新Linux内核中的内存隔离，还是什么？ - SO中文参考 - www.soinside.com...
weixin_33401529的博客
05-02 166
它是Linux内核4.12，Kali 2018.1。现在，我已经安装了最新版本的Kali - 2019.1。它使用内核4.19：Linux时间4.19.0-times1-amd64＃1 Debian Middle School 4.19.13-1 times1(2019-01-03)x86_64 GNU / Linux我试图抓住任何东西，但流程中不存在fd == 0。I've googled ...
Linux容器的隔离与限制
云原生运维
12-25 676
Linux进程引入 如果你要写一个计算加法的小程序，这个程序需要输入来自于一个文件，计算完成后的结果则输入到另一个文件中。 由于计算机只认识0和1，所以无论用那种语言编写这段代码，最后都需要通过某种方式翻译成二进制文件，才能在计算机操作系统中运行起来。 而为了能够让这些代码正常运行，我们往往还要给它提供数据，比如我们这个加法程序所需要的输入文件。这些数据加上代码本身的二进制文件，放在磁盘，就是我们平常所说的一个程序，也叫代码的可执行镜像（executable image）。 然后，我们就可以在计算机上运行这
linux 内存控制组管理结构
qq_37517281的博客
12-23 101
进程的预备知识
重学Android，保持学习
08-06 233
进程隔离 在操作系统中，进程与进程间的内存和数据都是不共享的。两个进程就好像大海中相互独立的两个岛屿，各自生活在互相平行的两个世界中，互不干扰，各自为政。这样做的目的，是为了避免进程间相互操作数据的现象发生，从而引起各自的安全问题。为了实现进程隔离，采用了虚拟地址空间，两个进程各自的虚拟地址不同，从逻辑上来实现彼此间的隔离。 跨进程通信 每一个进程完成的功能有限，就像现在的你我，往往只能做一个需求里的一个或者几个任务，而不是把所有事情都给做了，就这样，每个进程就时不时需要与其他进程之间通信了。两个进程
linux用户隔离,linux 多账户下实现Apache虚拟主机之间的相互隔离设置
weixin_30996983的博客
04-28 509
最近合租了linux服务器，作为管理员以及和合租者都希望将自己的虚拟主机目录和别人的隔离(因为每个用户都有linux登录账户)，这个问题起初也烦恼我很久，不过很快我就有了解决办法。1.假设 有两个站点 siteA 和 siteB(假设这两个站点的目录在/var/www/下)2.使用root账户登录终端建立两个帐号 userA 和 userB, 要满足使用userA登录时候只能有权限进入siteA目...
在CentOS上使用CGroups隔离硬件资源
架构师修炼道路
02-07 704
和参数单位是微秒，其中前者是指一个周期内总的可用运行时间，后者是指一个周期的长度，它们可以配合起来限制CPU的运行时间，下面列举几组例子让大家更容易理解。如果period为250ms且quota为250ms，那么该控制组每250ms将获得1个CPU运行时间。如果period为500ms且quota为1000ms，那么该控制组每500ms将获得2个CPU运行时间。如果period为50ms且quota为10ms，那么该控制组每50ms将获得1个CPU的20%运行时间。
linux 用户隔离,2020-07-14 -Linux服务器多用户隔离访问
weixin_42345868的博客
05-07 1162
一,单用户之间独享文件夹1. 用root用户登录服务器, 用 adduer命令, 分别创建新用户, terry , waroomadduser terry2. 修改创建后的用户权限在/home 文件夹下 输入：chmod 700 -R terry/3. 这样用户用terry或者waroom登录后,只能访问自己目录和系统目录, terry和waroom的账号不能互相访问对方目录一,多用户之间共享工程...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值