cgroupv2でsystemdサービスのCPU・メモリを制限する方法｜プロセス暴走をシステムレベルで防ぐ実践手順

この記事のポイント

・cgroupv2はsystemdと統合済み — UnitファイルでCPU・メモリを制限できる
・CPUQuota=50% でCPU使用率を1コアの50%に上限設定できる
・MemoryMaxを超えたプロセスはOOMKillerによって強制終了される
・systemctl showとsystemd-cgtopで設定値と実使用量を確認できる

# cgroupv2の確認（出力が "cgroup2" であればv2が有効）
[server01 ~]$ stat -fc %T /sys/fs/cgroup/
cgroup2

# mountコマンドでも確認できる
[server01 ~]$ mount | grep cgroup
cgroup2 on /sys/fs/cgroup type cgroup2 (rw,nosuid,nodev,noexec,relatime)

# /etc/systemd/system/myapp.service の [Service] セクションに追加
[Service]
ExecStart=/usr/local/bin/myapp
CPUQuota=50%

# Unitファイルの再読み込みとサービスの再起動
[server01 ~]$ sudo systemctl daemon-reload
[server01 ~]$ sudo systemctl restart myapp.service

# 一時的にnginxのCPU使用率を80%に制限（--runtimeを付けると再起動で元に戻る）
[server01 ~]$ sudo systemctl set-property --runtime nginx.service CPUQuota=80%

[Service]
ExecStart=/usr/local/bin/myapp
MemoryHigh=400M
MemoryMax=512M

[Service]
ExecStart=/usr/local/bin/backup-tool
# デバイスパスと帯域上限（バイト/秒）を指定
IOReadBandwidthMax=/dev/sda 50M
IOWriteBandwidthMax=/dev/sda 50M

# /etc/systemd/system/myapp.service
[Unit]
Description=My Application Service
After=network.target

[Service]
Type=simple
User=myapp
ExecStart=/usr/local/bin/myapp --config /etc/myapp/config.yml
Restart=on-failure

# --- リソース制限 ---
CPUQuota=50%
MemoryHigh=400M
MemoryMax=512M
IOWriteBandwidthMax=/dev/sda 50M

[Install]
WantedBy=multi-user.target

# systemctl edit コマンドでDropInファイルを自動作成・編集する
[server01 ~]$ sudo systemctl edit nginx.service

# エディタが開くので以下を入力して保存する
[Service]
CPUQuota=80%
MemoryMax=1G

# daemon-reloadとrestart（systemctl editは自動でdaemon-reloadを実行するが明示的に）
[server01 ~]$ sudo systemctl daemon-reload
[server01 ~]$ sudo systemctl restart nginx.service

[server01 ~]$ sudo systemctl show myapp.service | grep -E 'CPUQuota|MemoryMax|MemoryHigh|IOWrite'
CPUQuotaPerSecUSec=500ms
MemoryHigh=419430400
MemoryMax=536870912
IOWriteBandwidthMax=8:0 52428800

# サービスのcgroupパスを確認
[server01 ~]$ sudo systemctl show myapp.service -p ControlGroup
ControlGroup=/system.slice/myapp.service

# 現在のメモリ使用量（バイト単位）
[server01 ~]$ cat /sys/fs/cgroup/system.slice/myapp.service/memory.current
47513600

# CPU使用量の統計情報
[server01 ~]$ cat /sys/fs/cgroup/system.slice/myapp.service/cpu.stat
usage_usec 3821043
user_usec 3124891
system_usec 696152
nr_periods 382
nr_throttled 12
throttled_usec 241837

[server01 ~]$ sudo systemd-cgtop

Control Group                               Tasks   %CPU   Memory  Input/s Output/s
/                                              92    3.5     1.8G        -        -
/system.slice                                  -    2.1   956.4M        -        -
/system.slice/myapp.service                    3    1.8   453.2M        -        -
/system.slice/nginx.service                    4    0.2    45.3M        -        -
/system.slice/sshd.service                     2    0.0    12.1M        -        -

# cgroupのバージョンを確認
[server01 ~]$ stat -fc %T /sys/fs/cgroup/
cgroup2

# systemdのバージョン確認（245以上を推奨）
[server01 ~]$ systemd --version | head -1
systemd 252 (252-46.el9_5)

# MemoryMaxを設定していない状態で起動後、使用量を確認
[server01 ~]$ cat /sys/fs/cgroup/system.slice/myapp.service/memory.peak
234881024

# バイト → MB換算
[server01 ~]$ echo "234881024 / 1024 / 1024" | bc
224

# OOMKillerのログを確認（-1は前回起動分まで遡る場合に使用）
[server01 ~]$ sudo journalctl -b -p err | grep -i 'oom\|killed process\|out of memory'
Aug 23 10:15:22 server01 kernel: myapp invoked oom-killer: gfp_mask=0x400dc0, order=0
Aug 23 10:15:22 server01 kernel: Memory cgroup out of memory: Killed process 12345 (myapp)

# 正しい適用順序
[server01 ~]$ sudo systemctl daemon-reload   # 1. ファイル再読み込み
[server01 ~]$ sudo systemctl restart myapp   # 2. サービス再起動

# 変更が反映されているか確認
[server01 ~]$ sudo systemctl show myapp.service | grep CPUQuota
CPUQuotaPerSecUSec=500ms