Windows核心编程 - 作业

     有时候我们需要将一组进程当作一个单体来处理，另外，也可能需要限制某个进程所能访问的资源。Windows提供了一个称为作业  (job)的内核对象，它允许我们将进程组在一起并创建一个“沙箱”来限制进行能够做些什么。 那么我们可以将作业理解成一个进程的容器。如果一个进程已经与一个作业关联，则该进程及它的所有子进程都无法从作业中去除掉，这个安全特性可以保证进程无法摆脱对它施加的限制。

     创建作业内核对象函数：HANDLE CreateJobObject();

     根据作业对象名字，另一进程通过“打开作业作业对象函数：HANDLE OpenJobObject()”对作业进行访问。

 1. 对作业的进程施加限制

       创建一个作业之后，一般会根据作业中的进程能够执行哪些操作来建立一个沙箱，可限制的类型：

   1）基本限额和扩展基本限额，用于防止作业中的进程独占系统资源；

   2）基本的UI限制，用于防止作业内的进得更改用户界面；

   3）安全限额，用于防止作业内的进程访问安全资源（文件、注册表子项等）。

       施加限制函数 ：SetInformationJobObject()

2.将进程放入作业中

    CreateProcess时，需指定CREATE_SUSPENDDE标志，然后调用AssignProcessToJobObject()，将进程放入到作业中。

3.终止作业中的所有进程

    通过调用TerminateJobObject()可杀死作业内部所有进程，这类似于对作业内的每个进程调用TerminateProcess，将所有的退出码设为uExitCode.

4.作业通知

    1）对于一些简单的通知，可通知类似WaitForSingleObject这样的函数来等待通知，比如想知道进程分配的CPU时间是否已用完，因为如果作业中的进得还没用完分配的CPU时间，作业内核对象就处于未触发状态。如果作业的所有进程都用完了所分配的CPU时间，Windows会强行杀死作业中的所有进程并触发作业内核对象。

    2）对于一些更详细的通知，比如进程创建/终止运行，这些需创建一个I/O完成端口内核对象，并作业对象与完成端口关联，然后必须 有一个或多个线程等待作业通知到达完成端口，再进行处理。