Documentazione<Precedenti | Contenuti | Succ.>
6.10. Gruppi di controllo
I gruppi di controllo (cgroups) sono una funzionalità del kernel che fornisce il raggruppamento gerarchico delle attività e l'accounting e i limiti delle risorse per cgroup. Sono utilizzati nei contenitori per limitare l'accesso a dispositivi a caratteri e blocchi e per bloccare (sospendere) i contenitori. Possono essere ulteriormente utilizzati per limitare l'utilizzo della memoria e bloccare l'i/o, garantire condivisioni minime della CPU e bloccare i contenitori su CPU specifiche.
Per impostazione predefinita, un contenitore privilegiato CN verrà assegnato a un cgroup chiamato /lxc/CN. In caso di conflitti di nome (che possono verificarsi quando si utilizzano lxcpaths personalizzati) un suffisso "-n", dove n è un numero intero che inizia da 0, verrà aggiunto al nome del cgroup.
Per impostazione predefinita, un contenitore privilegiato CN verrà assegnato a un cgroup chiamato CN sotto il cgroup dell'attività che ha avviato il contenitore, ad esempio /usr/1000.user/1.session/CN. Alla radice del contenitore verrà assegnata la proprietà del gruppo della directory (ma non di tutti i file) in modo che sia consentito creare nuovi cgroup figlio.
A partire da Ubuntu 14.04, LXC utilizza il gestore cgroup (cgmanager) per amministrare i cgroup. Il gestore cgroup riceve richieste D-Bus sul socket Unix /sys/fs/cgroup/cgmanager/sock. Per facilitare contenitori annidati sicuri, la linea
lxc.mount.auto = cgroup
può essere aggiunto alla configurazione del contenitore causando il /sys/fs/cgroup/cgmanager directory da montare nel contenitore. Il contenitore a sua volta dovrebbe avviare il proxy di gestione cgroup (fatto di default se il pacchetto cgmanager è installato nel contenitore) che sposterà il /sys/fs/cgroup/cgmanager directory a /sys/fs/cgroup/cgmanager.lower, quindi inizia ad ascoltare le richieste al proxy sul proprio socket /sys/fs/cgroup/cgmanager/sock. Il cgmanager host assicurerà che i contenitori annidati non possano sfuggire ai cgroup assegnati o effettuare richieste per le quali non sono autorizzati.