限制linux用戶的內存使用主要通過cgroups技術實現。具體步驟包括：1. 檢查系統是否支持cgroups，查看/proc/cgroups文件及/sys/fs/cgroup/memory目錄結構；2. 若未自動掛載，手動執行mount命令掛載memory cgroup controller；3. 創建新的cgroup目錄并設置memory.limit_in_bytes文件以限制內存；4. 將目標進程pid寫入tasks文件以應用限制；5. 通過修改user.slice目錄下的memory.limit_in_bytes文件限制特定用戶內存使用；6. 使用memory.usage_in_bytes和memory.stat等文件監控內存使用情況；7. 刪除cgroup時需確保無運行進程；8. 設置不當可能導致oom killer誤殺進程，需調整swappiness和oom_control參數；9. cgroups v1與v2存在差異，推薦新系統使用更簡潔強大的cgroups v2。
限制linux用戶的內存使用，主要靠cgroups（Control Groups）技術。簡單來說，cgroups就像一個資源管理器，可以限制特定進程或用戶組能使用的CPU、內存、磁盤I/O等資源。這對于服務器穩定性和防止惡意程序占用過多資源至關重要。
cgroups基礎配置教程
如何查看系統是否支持cgroups？
最簡單的辦法是檢查/proc/cgroups文件。如果存在，說明你的系統內核支持cgroups。更進一步，可以執行ls /sys/fs/cgroup/memory/命令，如果看到類似user.slice、system.slice等目錄，說明memory cgroup controller已經掛載并可用。如果目錄不存在，可能需要手動掛載。掛載命令通常是mount -t tmpfs cgroup_root /sys/fs/cgroup，然后mkdir /sys/fs/cgroup/memory和mount -t cgroup -o memory cgroup_memory /sys/fs/cgroup/memory。不過，現代Linux發行版通常會自動處理這些。
如何創建一個cgroup并限制內存？
首先，在/sys/fs/cgroup/memory/下創建一個新的目錄，例如test_group：mkdir /sys/fs/cgroup/memory/test_group。然后，進入這個目錄：cd /sys/fs/cgroup/memory/test_group。
限制內存的關鍵在于修改memory.limit_in_bytes文件。例如，要限制為100MB，可以執行echo 100M > memory.limit_in_bytes。注意，這里的大小單位可以是K、M、G等。
接下來，需要將要限制的進程ID（PID）寫入tasks文件。假設要限制的進程PID是1234，執行echo 1234 > tasks。這樣，PID為1234的進程就被限制在100MB內存內了。
如果進程試圖使用超過限制的內存，默認情況下，cgroup會嘗試回收內存。如果回收失敗，并且memory.oom_control設置為1（默認值），進程會被OOM killer殺死。
如何限制特定用戶的內存使用？
要限制特定用戶的內存，可以結合systemd的user.slice。systemd會自動為每個用戶創建一個slice，并管理其進程。
首先，找到對應用戶的user.slice目錄，通常在/sys/fs/cgroup/memory/system.slice/user-
然后，與之前類似，修改該目錄下的memory.limit_in_bytes文件來限制用戶的總內存使用。例如，限制用戶UID為1000的內存使用為200MB：echo 200M > /sys/fs/cgroup/memory/system.slice/user-1000.slice/memory.limit_in_bytes。
需要注意的是，這種方式限制的是用戶啟動的所有進程的總內存使用。
如何監控cgroup的內存使用情況？
在cgroup目錄下，有幾個文件可以用來監控內存使用情況。memory.usage_in_bytes顯示當前cgroup使用的總內存量，包括緩存。memory.stat提供更詳細的統計信息，例如RSS、cache等。
可以使用cat memory.usage_in_bytes來查看當前使用量。
另外，memory.failcnt記錄了內存分配失敗的次數，如果這個值持續增加，可能意味著內存限制過于嚴格。
如何刪除一個cgroup？
刪除cgroup非常簡單，只需要刪除對應的目錄即可：rmdir /sys/fs/cgroup/memory/test_group。但是，在刪除之前，需要確保該cgroup下沒有正在運行的進程，否則會報錯。可以將進程從tasks文件中移除，或者直接殺死進程。
為什么設置了內存限制，進程還是被OOM killer殺了？
這可能是因為除了memory.limit_in_bytes之外，還有其他因素影響。例如，memory.swappiness控制著使用swap的積極程度。如果memory.swappiness設置為0，系統會盡量避免使用swap，即使還有空閑的swap空間，也可能導致OOM。
另外，memory.oom_control的設置也很重要。如果oom_kill_disable設置為1，即使進程超過了內存限制，也不會被OOM killer殺死，而是會無限期地等待內存。這可能會導致系統假死。
還需注意，cgroup的內存限制是硬限制，一旦超過，就會觸發OOM killer。因此，在設置內存限制時，需要留有一定的余量，避免誤殺。
cgroups v1和cgroups v2有什么區別？我應該使用哪個？
cgroups有兩個主要版本：v1和v2。v1是最初的版本，使用多個獨立的hierarchy來管理不同的資源（CPU、內存、I/O等）。v2是重新設計的版本，使用統一的hierarchy，并且引入了一些新的特性，例如更細粒度的資源控制。
選擇哪個版本取決于你的Linux發行版和你的需求。較新的發行版通常默認使用cgroups v2。可以使用mount | grep cgroup2命令來檢查是否掛載了cgroups v2。
cgroups v2的配置方式與v1略有不同。例如，在v2中，不再有tasks文件，而是使用cgroup.procs文件。此外，v2中的一些參數名稱也發生了變化。
總的來說，如果你的發行版支持cgroups v2，并且你不需要與舊系統兼容，那么建議使用cgroups v2，因為它更簡潔、更強大。但如果你的發行版仍然使用cgroups v1，或者你需要與舊系統兼容，那么就只能使用cgroups v1。
