Cuotas, límites y aislamiento básico

Hay dos mecanismos que se confunden. Los límites de recursos (ulimit, y su configuración en /etc/security/limits.d) fijan topes del proceso y sus hijos: archivos abiertos, procesos de un usuario, tamaño de pila. Los cgroups (grupos de control) agrupan procesos y fijan topes para el conjunto: memoria total, número de procesos, tiempo de CPU.

systemd usa cgroups por debajo: las directivas MemoryMax= y TasksMax= de una unidad se traducen en archivos como memory.max y pids.max en /sys/fs/cgroup. Y un valor max o infinity significa que no hay tope.

Las unidades de systemd del ejecutor viven en /etc/systemd/system. Un servicio sin MemoryMax= (o con infinity) puede llevarse toda la memoria del equipo ante un fallo. Compara las tres unidades.

Un disco lleno detiene los trabajos con errores confusos. df -h muestra el espacio por punto de montaje y df -i los inodos (cada archivo usa uno: una partición puede quedarse sin ellos con espacio libre). Las cuotas de disco por usuario existen para evitar que una cuenta se coma el volumen. Lee el informe del 5 de octubre.

Los archivos de cgroup guardan los topes en bytes. Un gibibyte (GiB) son 1024 × 1024 × 1024 bytes, es decir, 1 073 741 824. Lee el tope de memoria del grupo del ejecutor, y recuerda que memory.events cuenta en oom_kill cuántas veces el kernel mató procesos por pasarse del tope.

Además de los topes, una unidad de systemd puede restringir lo que el servicio ve y puede hacer: NoNewPrivileges=yes impide ganar privilegios (por ejemplo, vía setuid), PrivateTmp=yes le da una carpeta temporal propia y ProtectSystem=strict deja el sistema de archivos en solo lectura salvo las rutas de ReadWritePaths=. No es un aislamiento completo, pero es barato y se lee de un vistazo.