如何知道我遇到了哪个用户限制？

Question 1

nproc 是问题所在：

[root@localhost ~]# ps -eLf | grep pascal | wc -l
4068
[root@localhost ~]# cat /etc/security/limits.d/20-nproc.conf
# Default limit for number of user's processes to prevent
# accidental fork bombs.
# See rhbz #432903 for reasoning.

*          soft    nproc     4096
root       soft    nproc     unlimited
[root@localhost ~]#

man limits.conf 指出：

   Also, please note that all limit settings are set per login. They are
   not global, nor are they permanent; existing only for the duration of
   the session. One exception is the maxlogin option, this one is system
   wide. But there is a race, concurrent logins at the same time will not
   always be detected as such but only counted as one.

在我看来，nproc 仅在每次登录时强制执行，但在全局范围内计数。因此，使用 nproc 8192 和 5000 个线程登录不会有问题，但使用 nproc 4096 和 50 个线程同时登录同一 UID 将无法创建更多线程，因为全局计数 (5050) 高于其 nproc 设置。

[root@localhost ~]# ps -eLf | grep pascal | grep google/chrome | wc -l
3792

Answer

nproc 是问题所在：

[root@localhost ~]# ps -eLf | grep pascal | wc -l
4068
[root@localhost ~]# cat /etc/security/limits.d/20-nproc.conf
# Default limit for number of user's processes to prevent
# accidental fork bombs.
# See rhbz #432903 for reasoning.

*          soft    nproc     4096
root       soft    nproc     unlimited
[root@localhost ~]#

man limits.conf 指出：

   Also, please note that all limit settings are set per login. They are
   not global, nor are they permanent; existing only for the duration of
   the session. One exception is the maxlogin option, this one is system
   wide. But there is a race, concurrent logins at the same time will not
   always be detected as such but only counted as one.

在我看来，nproc 仅在每次登录时强制执行，但在全局范围内计数。因此，使用 nproc 8192 和 5000 个线程登录不会有问题，但使用 nproc 4096 和 50 个线程同时登录同一 UID 将无法创建更多线程，因为全局计数 (5050) 高于其 nproc 设置。

[root@localhost ~]# ps -eLf | grep pascal | grep google/chrome | wc -l
3792

Question 2

如果您根本无法访问该帐户，您将很难找出问题所在。但请检查系统或应用程序日志，希望某些程序会在那里留下线索（特别是对于失败的登录尝试）。

如果您可以运行程序进行实验，则可以通过尝试增加每个限制值并查看其何时有效以及何时尝试失败（并显示）来判断已达到哪个限制EAGAIN。还可以列出每个值使用的资源；我想不出有一种实用程序可以收集所有限制的数据，但很可能有一个。

假设问题是内核限制，这些问题列在setrlimit手册页。适用于每个用户 ID 的内容包括：

RLIMIT_MEMLOCK— 不可交换内存的大小。不应阻止登录，很少有程序请求不可交换的内存。
RLIMIT_MSGQUEUE— 消息队列的大小。不应阻止登录，很少有程序使用消息队列。
RLIMIT_NPROC— 最大进程数。这绝对是将要如果达到则阻止登录。增加限制/etc/security/limits.conf不会影响现有会话，但会影响新进程，因此如果系统管理员增加该值，用户将能够登录。
RLIMIT_SIGPENDING— 待处理信号的最大数量。不应阻止登录，很少有程序使用sigqueue对信号进行排队。

所以对进程的限制是最有可能的一种。如果您有权访问正在运行的 shell，则可以通过尝试运行程序来确认；该错误应该非常明显：

$ ls
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: Resource temporarily unavailable

您可以使用打印出此限制ulimit -u。如果您有权访问以有问题的用户身份运行的 shell，并且该用户尚未运行任何 setuid 程序，则可以使用set /proc/*/task/*/cwd/.; echo $#(列出用户可以读取cwd链接的内核线程，其中意味着用户可以完全控制该过程）。

Answer

如果您根本无法访问该帐户，您将很难找出问题所在。但请检查系统或应用程序日志，希望某些程序会在那里留下线索（特别是对于失败的登录尝试）。

如果您可以运行程序进行实验，则可以通过尝试增加每个限制值并查看其何时有效以及何时尝试失败（并显示）来判断已达到哪个限制EAGAIN。还可以列出每个值使用的资源；我想不出有一种实用程序可以收集所有限制的数据，但很可能有一个。

假设问题是内核限制，这些问题列在setrlimit手册页。适用于每个用户 ID 的内容包括：

RLIMIT_MEMLOCK— 不可交换内存的大小。不应阻止登录，很少有程序请求不可交换的内存。
RLIMIT_MSGQUEUE— 消息队列的大小。不应阻止登录，很少有程序使用消息队列。
RLIMIT_NPROC— 最大进程数。这绝对是将要如果达到则阻止登录。增加限制/etc/security/limits.conf不会影响现有会话，但会影响新进程，因此如果系统管理员增加该值，用户将能够登录。
RLIMIT_SIGPENDING— 待处理信号的最大数量。不应阻止登录，很少有程序使用sigqueue对信号进行排队。

所以对进程的限制是最有可能的一种。如果您有权访问正在运行的 shell，则可以通过尝试运行程序来确认；该错误应该非常明显：

$ ls
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: retry: No child processes
bash: fork: Resource temporarily unavailable

您可以使用打印出此限制ulimit -u。如果您有权访问以有问题的用户身份运行的 shell，并且该用户尚未运行任何 setuid 程序，则可以使用set /proc/*/task/*/cwd/.; echo $#(列出用户可以读取cwd链接的内核线程，其中意味着用户可以完全控制该过程）。

Question 3

尝试找出当操作系统尝试运行您的程序但失败时正在发生什么系统调用。使用斯特雷斯

希望它会非常简单。如果没有发布痕迹。

一般来说，除了尝试收集更多信息之外，您别无选择。

Answer

尝试找出当操作系统尝试运行您的程序但失败时正在发生什么系统调用。使用斯特雷斯

希望它会非常简单。如果没有发布痕迹。

一般来说，除了尝试收集更多信息之外，您别无选择。

Question 4

nproc你可以确定https://unix.stackexchange.com/a/289589/8337

-n打开您可以确定的文件https://stackoverflow.com/a/21752125/32453

其余的不确定。

也许一次增加一项限制，直到您达到黄金水平？ :)

Answer

nproc你可以确定https://unix.stackexchange.com/a/289589/8337

-n打开您可以确定的文件https://stackoverflow.com/a/21752125/32453

其余的不确定。

也许一次增加一项限制，直到您达到黄金水平？ :)

如何知道我遇到了哪个用户限制？

答案1

答案2

答案3

答案4

相关内容