Automatiser l'isolation des ressources avec cgroups et systemd sous Linux

Les cgroups (Control Groups) permettent d'isoler, limiter et surveiller l'utilisation des ressources (CPU, mémoire, I/O) des processus sous Linux. Couplés à systemd, ils donnent un contrôle fin pour garantir la qualité de service (QoS) et la stabilité des serveurs en production.

Pour les bases de systemd et la création de services, consultez notre guide complet. Pour une gestion avancée des timers et dépendances, découvrez les systemd timers et path units avancés.

• Serveur Linux récent (Debian 12+, Rocky 9+, Ubuntu 22.04+)
• Accès root ou sudo
• Système utilisant systemd et cgroups v2 activé (par défaut sur toutes les distributions modernes)

Vérifiez la version utilisée :

mount | grep cgroup

Vous devez voir /sys/fs/cgroup type cgroup2.

Pour forcer cgroups v2 (si besoin, reboot requis) :

RHEL/Fedora :

sudo grubby --update-kernel=ALL --args="systemd.unified_cgroup_hierarchy=1"
sudo reboot

Debian/Ubuntu :

sudo sed -i 's/GRUB_CMDLINE_LINUX="/GRUB_CMDLINE_LINUX="systemd.unified_cgroup_hierarchy=1 /' /etc/default/grub
sudo update-grub
sudo reboot

Créez ou éditez un fichier d'override pour un service existant :

sudo systemctl edit nginx

Ajoutez dans le bloc [Service] par exemple :

[Service]
CPUQuota=40%
MemoryMax=1G
IOReadBandwidthMax=/dev/vda 10M
IOWriteBandwidthMax=/dev/vda 10M

Rechargez et redémarrez le service :

sudo systemctl daemon-reload
sudo systemctl restart nginx

systemd-run --unit=monjob --scope -p MemoryMax=512M -p CPUQuota=30% ./mon_script.sh

Le process sera isolé avec la QoS définie, sans impacter le reste du système.

Utilisez les outils suivants :

• systemctl status <service>
• cat /sys/fs/cgroup/<unité>/memory.current
• cat /sys/fs/cgroup/<unité>/cpu.stat
• Ou bien surveillez globalement :

  systemd-cgtop
  

• Limiter les backups gourmands : CPUQuota=10%, MemoryMax=256M
• Garantir la priorité aux services web : CPUWeight=1024 pour le service web, CPUWeight=100 pour les tâches batch
• Contrôler la latence sur des bases de données : IOWeight=1000 pour le service DB, IOWeight=100 pour les scripts secondaires

- name: Créer le fichier override pour NGINX
  copy:
    dest: /etc/systemd/system/nginx.service.d/limits.conf
    content: |
      [Service]
      CPUQuota=40%
      MemoryMax=1G
  notify: Restart nginx

- name: Recharger systemd
  systemd:
    daemon_reload: yes

handlers:
  - name: Restart nginx
    systemd:
      name: nginx
      state: restarted

La gestion fine des cgroups avec systemd donne un contrôle total sur la consommation de ressources. Elle renforce la sécurité et la résilience des serveurs Linux modernes, surtout en environnement multi-tenant ou cloud privé.