cgroup提供五种资源限制方法：一、v1内存限制；二、v1 cpu硬限制；三、cpuset绑定cpu核心；四、systemd持久化slice；五、v2统一层级多资源协同限制。
一、通过cgroup v1手动配置内存限制
该方法直接操作内核暴露的cgroup虚拟文件系统，适用于需要精确控制单个进程内存上限的场景。需确保memory子系统已挂载，且目标进程处于运行状态。
1、检查memory子系统是否已挂载：mount | grep cgroup | grep memory
2、若未挂载，执行挂载命令：sudo mount -t cgroup -o memory none /sys/fs/cgroup/memory
3、在memory层级下创建新控制组：sudo mkdir /sys/fs/cgroup/memory/myapp_group
4、设置该组最大内存为512MB：echo 536870912 > /sys/fs/cgroup/memory/myapp_group/memory.limit_in_bytes
5、将目标进程PID写入tasks文件：echo 1892 > /sys/fs/cgroup/memory/myapp_group/tasks
二、使用cgroup v1配置CPU时间硬限制
该方法通过CFS（Completely Fair Scheduler）参数实现对CPU使用率的硬性封顶，适用于防止某进程持续占用过高CPU导致系统响应迟滞。
1、挂载cpu子系统（如尚未挂载）：sudo mount -t cgroup -o cpu none /sys/fs/cgroup/cpu
2、创建cpu控制组：sudo mkdir /sys/fs/cgroup/cpu/myapp_cpu
3、设定调度周期为100000微秒（100ms）：echo 100000 > /sys/fs/cgroup/cpu/myapp_cpu/cpu.cfs_period_us
4、设定该组每周期最多使用30000微秒CPU时间（即30%）：echo 30000 > /sys/fs/cgroup/cpu/myapp_cpu/cpu.cfs_quota_us
5、将进程加入该组：echo 1892 > /sys/fs/cgroup/cpu/myapp_cpu/tasks
三、利用cpuset子系统限定可用CPU核心
该方法可将进程严格绑定至指定物理CPU核心，避免跨核调度开销，适用于实时性要求高或NUMA敏感型应用。
1、挂载cpuset子系统：sudo mount -t cgroup -o cpuset none /sys/fs/cgroup/cpuset
2、创建专用cpuset组：sudo mkdir /sys/fs/cgroup/cpuset/myapp_cpuset
3、指定允许使用的CPU编号（如仅限核心0和2）：echo 0,2 > /sys/fs/cgroup/cpuset/myapp_cpuset/cpuset.cpus
4、指定可访问的内存节点（如仅限node 0）：echo 0 > /sys/fs/cgroup/cpuset/myapp_cpuset/cpuset.mems
5、将进程迁移至该组：echo 1892 > /sys/fs/cgroup/cpuset/myapp_cpuset/tasks
四、基于systemd创建持久化slice资源策略
该方法利用systemd原生支持的.slice单元机制，在系统重启后仍保持资源限制，适用于服务级长期管控，无需手动维护cgroup路径。
1、创建自定义slice单元文件：sudo tee /etc/systemd/system/myapp.slice
2、重载systemd配置以识别新slice：sudo systemctl daemon-reload
3、将目标服务绑定到该slice（以nginx为例）：sudo systemctl set-property nginx.service Slice=myapp.slice
4、重启服务使策略生效：sudo systemctl restart nginx.service
5、验证资源配置是否加载：systemctl show nginx.service | grep -E "(Memory|CPU)"
五、使用cgroup v2统一层级进行多资源协同限制
cgroup v2采用单一层级结构，支持对CPU、内存、IO等资源进行原子化配置，避免v1中多层级嵌套导致的策略冲突问题。
1、确认系统启用cgroup v2（检查/proc/filesystems中是否有cgroup2）：grep cgroup /proc/filesystems
2、挂载cgroup2统一层级（通常已由init系统自动挂载）：sudo mount -t cgroup2 none /sys/fs/cgroup
3、创建子控制组目录：sudo mkdir /sys/fs/cgroup/myapp_v2
4、设置内存上限为256MB：echo 268435456 > /sys/fs/cgroup/myapp_v2/memory.max
5、设置CPU配额为总能力的25%（周期100ms，配额25ms）：echo "100000 25000" > /sys/fs/cgroup/myapp_v2/cpu.max
6、将进程加入v2控制组：echo 1892 > /sys/fs/cgroup/myapp_v2/cgroup.procs
