Question

我正在开发一个在线判断类型系统，可能会同时运行100个不受信任的可执行文件并评估相同的输入数据。

我希望将每个可执行文件限制为预定义资源池的CPU，内存，磁盘空间等的相等份额。例如，如果资源池设置为机器CPU的3/4，3 GB内存，300 GB磁盘和2个可执行文件，则每个将获得3/8 CPU，1.5 GB内存，150 GB磁盘如果另一个人加入，资源将被重新调整为三个相等的片段。这是为了防止恶意或错误的可执行文件从其他人那里窃取资源以及为每个人提供相同的资源。

理想情况下，我还希望可执行文件不会被限制为单一语言（例如，让用户以他们喜欢的方式开发--C，C ++，Java，Python等）。

使用整个虚拟机或类似OpenVZ的东西似乎有些过分。是否有更轻量级的替代方案，基本上为每个可执行文件使用单独的进程，同时限制其资源，禁用网络访问，进程产生等事情？我正在寻找轻量级解决方案的部分原因是有相当多的输入数据 - 宁愿不必将其复制到每个可执行文件中，而是让它们从共享内存中读取。

Answer 1

也许为每个进程创建不同的用户ID就足够了，然后通过“ulimit”限制它们。 Debian下bash的ulimit的manpage：

ulimit [-HSTabcdefilmnpqrstuvx [limit]]

在允许此类控制的系统上，控制shell可用资源及其启动的进程。 -H和-S选项指定硬限制或软限制为给定资源设置。设置后，非root用户无法增加硬限制;软限制可以增加到硬限制的值。如果既不是-H也不是-S 如果指定，则设置软限制和硬限制。 limit的值可以是为资源指定的单位中的数字，也可以是硬，软或无限制的特殊值之一对于当前的硬限制，当前的软限制和无限制。如果省略limit，则打印资源软限制的当前值，除非-H选项为给出。如果指定了多个资源，则会在值之前打印限制名称和单位。其他选项解释如下：

          -a     All current limits are reported
          -b     The maximum socket buffer size
          -c     The maximum size of core files created
          -d     The maximum size of a process's data segment
          -e     The maximum scheduling priority ("nice")
          -f     The maximum size of files written by the shell and its children
          -i     The maximum number of pending signals
          -l     The maximum size that may be locked into memory
          -m     The **maximum resident set size** (many systems do not honor this limit)
          -n     The maximum number of open file descriptors (most systems do not allow this value to be set)
          -p     The pipe size in 512-byte blocks (this may not be set)
          -q     The maximum number of bytes in POSIX message queues
          -r     The maximum real-time scheduling priority
          -s     The maximum stack size
          -t     The maximum amount of cpu time in seconds
          -u     The maximum number of processes available to a single user
          -v     The maximum amount of virtual memory available to the shell and, on some systems, to its children
          -x     The maximum number of file locks
          -T     The **maximum number of threads**

我认为将线程限制为1可以获得公平的CPU计算时间分配。

限制最大RSS。

公平，安全，高效，多语言的沙盒

1 个答案: