CentOS ulimit如何实现资源隔离

在CentOS系统中，ulimit命令用于控制用户进程可以使用的系统资源。通过ulimit，你可以限制用户或进程可以打开的文件描述符数量、进程数、CPU时间等。这有助于实现资源的隔离和管理。

以下是一些常见的ulimit设置及其用途：

1. 文件描述符限制：

   • ulimit -n <number>：设置用户可以同时打开的最大文件描述符数量。

   ulimit -n 1024
   

2. 进程数限制：

   • ulimit -u <number>：设置用户可以创建的最大进程数。

   ulimit -u 512
   

3. CPU时间限制：

   • ulimit -t <seconds>：设置用户进程可以使用的最大CPU时间（秒）。

   ulimit -t 3600
   

4. 内存使用限制：

   • ulimit -v <kilobytes>：设置用户进程可以使用的最大虚拟内存（千字节）。

   ulimit -v 512000
   

5. 数据段大小限制：

   • ulimit -d <kilobytes>：设置用户进程的数据段最大大小（千字节）。

   ulimit -d 204800
   

6. 堆栈大小限制：

   • ulimit -s <kilobytes>：设置用户进程的堆栈最大大小（千字节）。

   ulimit -s 8192
   

7. 核心转储文件大小限制：

   • ulimit -c <size>：设置核心转储文件的最大大小（块数）。

   ulimit -c unlimited
   

持久化设置

ulimit的设置在用户退出登录或系统重启后会失效。为了持久化这些设置，可以将它们添加到用户的shell配置文件中，例如.bashrc或.bash_profile。

例如，在.bashrc文件中添加以下行：

ulimit -n 1024
ulimit -u 512
ulimit -t 3600
ulimit -v 512000
ulimit -d 204800
ulimit -s 8192
ulimit -c unlimited

系统级限制

除了用户级的ulimit设置，还可以通过编辑/etc/security/limits.conf文件来设置系统级的资源限制。这个文件允许你为特定的用户或用户组设置资源限制。

例如，在/etc/security/limits.conf文件中添加以下行：

* soft nofile 1024
* hard nofile 2048
@developers soft nproc 512
@developers hard nproc 1024

使用cgroups进行更细粒度的资源隔离

对于更复杂的资源隔离需求，可以使用Linux的cgroups（控制组）功能。cgroups允许你将一组进程组织在一起，并对它们使用的资源进行限制、监控和分配。

以下是一个简单的示例，展示如何使用cgroups限制CPU和内存的使用：

1. 创建一个新的cgroup：

   sudo cgcreate -g cpu,memory:/mygroup
   

2. 设置CPU和内存限制：

   echo "50000" | sudo tee /sys/fs/cgroup/cpu/mygroup/cpu.cfs_quota_us
   echo "100M" | sudo tee /sys/fs/cgroup/memory/mygroup/memory.limit_in_bytes
   

3. 将进程添加到cgroup：

   echo $$ | sudo tee /sys/fs/cgroup/cpu/mygroup/tasks
   echo $$ | sudo tee /sys/fs/cgroup/memory/mygroup/tasks
   

通过这些方法，你可以在CentOS系统中实现资源的隔离和管理。