Linux下使用Cgroup限制特定用户的资源占用 容器底层原理实战
在Linux系统管理中，我们常常希望为特定用户设置资源上限，比如限制某个开发账户的内存使用，或者防止测试用户占用过多CPU。一个常见的误解是，Cgroup（控制组）可以直接按用户名来限制资源。但真相是，Cgroup的底层逻辑并非如此。 Cgroup 本身不认「用户」，只认「进程组」；想限制特定用户的
在Linux系统管理中，我们常常希望为特定用户设置资源上限，比如限制某个开发账户的内存使用，或者防止测试用户占用过多CPU。一个常见的误解是，Cgroup（控制组）可以直接按用户名来限制资源。但真相是，Cgroup的底层逻辑并非如此。
Cgroup 本身不认「用户」，只认「进程组」；想限制特定用户的资源，必须把该用户启动的所有进程统一归入某个 cgroup，再通过 systemd 或手动挂载 + 进程迁移实现。
直接说结论：Cgroup 本身不认「用户」，只认「进程组」。想限制特定用户的资源，必须把该用户启动的所有进程统一归入某个 cgroup，再通过 systemd 或手动挂载加进程迁移来实现。绕过这层绑定，所有配置都无效。
为什么 cgroup 不能直接按用户名限制资源
cgroup 是内核机制，它操作的对象是进程（pid）及其所属的控制组，不是 UID 或用户名。系统中不存在 user.max_memory 或 uid.1001.cpu_quota 这类接口。哪怕你用 useradd 创建了用户，内核也完全不感知其“身份”，只看这个用户启动的进程被塞进了哪个 cgroup。
- 所有基于用户名的资源限制，本质都是「在用户登录/启动服务时，自动把它的进程加入预设 cgroup」。
- systemd 是目前最可靠、默认启用的自动化路径；手动方式容易漏掉子进程或 fork 出的新进程。
- 如果你用的是 cgroup v2（RHEL 9 / Ubuntu 22.04+ 默认），
/sys/fs/cgroup/user.slice下已存在按 UID 组织的层级，但那只是 systemd 的约定，不是内核原生支持。
用 systemd 为用户会话设置内存/CPU 限制（推荐）
这是现代 Linux 发行版中最稳定、最易维护的方式，依赖 logind 和 systemd --user 自动创建用户 slice。
- 编辑
/etc/systemd/logind.conf，取消注释并修改：UserTasksMax=512（限制单用户最大进程数）RuntimeDirectoryMode=0755（确保运行时目录权限正确） - 为特定 UID 创建 slice 配置：
新建/etc/systemd/system/user-1001.slice.d/limits.conf，内容为：[Slice] MemoryMax=2G CPUQuota=30%
- 重载配置：
sudo systemctl daemon-reload && sudo systemctl kill --kill-who=all --signal=SIGTERM user-1001.slice（强制下次登录生效） - 验证：
loginctl show-user 1001 | grep Memory，或查看/sys/fs/cgroup/user.slice/user-1001.slice/memory.max
手动将已有进程迁入 cgroup（调试/临时场景）
适用于没走 systemd 登录、或需要立即干预某个失控进程的情况。注意：只对当前进程有效，新 fork 的子进程不会自动继承。
- 确认 cgroup v2 已启用：
mount | grep cgroup应看到type cgroup2 - 创建用户专属 cgroup：
sudo mkdir -p /sys/fs/cgroup/user-john - 设内存上限：
echo "2147483648" | sudo tee /sys/fs/cgroup/user-john/memory.max - 设 CPU 配额（例如 1 核）：
echo "100000" | sudo tee /sys/fs/cgroup/user-john/cpu.max - 把目标进程 PID 加入：
echo 12345 | sudo tee /sys/fs/cgroup/user-john/cgroup.procs - ⚠️ 坑点：如果进程已 fork 多个子进程，
cgroup.procs只移入线程组 leader；要用tasks文件逐个写入所有tid，或改用systemd-run --scope启动整棵树
systemd-run --scope 启动受控命令（最简可控方式）
适合脚本化、CI/CD 或运维临时任务，能天然捕获整个进程树，无需手动迁移。
- 限制某条命令最多用 512MB 内存和 0.5 核 CPU：
systemd-run --scope -p MemoryMax=512M -p CPUQuota=50% --uid=1001 bash -c 'sleep 300' - 查看效果：
systemctl status run-rXXXXX.scope，或读取对应 cgroup 路径下的memory.current和cpu.stat - 注意：
--scope不会持久化，退出即销毁；若需长期守护，请用--unit=xxx.service替代
真正容易被忽略的是子进程继承问题——无论用哪种方式，只要没显式用 systemd-run --scope 或完整 slice 配置，fork 出的后台任务、shell 子命令、nohup 进程大概率逃逸出限制。这不是配置写错了，而是 cgroup 的设计使然：它管的是“谁启动了你”，不是“你是谁”。
正软商城本月促销专区，汇集办公、设计、安全、影音、系统工具及AI软件等正版软件优惠活动，提供限时折扣、特价授权和优惠购买信息，活动库存及价格以页面实时展示为准。
正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。
正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。
正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。
正软商城iOS软件专区，精选适用于iPhone和iPad的办公、学习、影音、设计、效率及AI应用，提供功能介绍、适用设备、系统要求和正版获取方式等信息。
正软商城AI软件专区，汇集AI写作、AI绘画、AI视频、AI办公、AI编程、AI翻译、智能客服和数据分析等人工智能工具，提供功能介绍、适用平台、收费方式及正版购买信息。
正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法，同时介绍常用PDF软件和工具的使用技巧。
赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
