主机上的 cgroups v2：检查模式并读取各单元的资源限制

目标

确认 Linux 主机运行的 cgroup 模式，并检查 systemd（以及通过它工作的容器运行时）施加给某个单元或容器的资源限制。

前提条件

可以访问 shell；只读检查不需要 root，但查看其他用户的某些 cgroup 详情需要 root。

步骤

1. 检查模式：stat -fc %T /sys/fs/cgroup。内核 cgroup v2 文档以 cgroup2 文件系统类型挂载统一层级，stat 将其报告为 cgroup2fs；这个输出表示主机完全使用 cgroup v2（统一模式）。如果看到的是 tmpfs，则表示混合或旧式（cgroup v1）配置，其中 /sys/fs/cgroup 是 tmpfs，其下分别挂载 v1 控制器。
2. 按切片、作用域和服务构成的层级浏览树：systemd-cgls 打印完整 cgroup 树及各单元下的进程；systemd-cgls /system.slice/docker.service（或相应切片）将范围缩小到一个分支。
3. 查看每个 cgroup 的实时资源使用情况：systemd-cgtop 显示各控制组的任务、CPU、内存和 I/O，像 top 一样刷新；无需事先知道 PID，就能找出哪个容器或服务正在消耗主机资源。
4. 直接读取 systemd 单元配置的限制：systemctl show <unit> --property=MemoryMax,MemoryHigh,CPUQuotaPerSecUSec。Podman Quadlet 容器运行在自身的服务单元之下；使用 systemd cgroup 驱动（cgroup v2 通常的默认驱动）的 docker run --memory=512m 容器会成为 system.slice 下的 docker-<id>.scope；使用 cgroupfs 驱动时，则位于 /sys/fs/cgroup/docker/<id>/。无论哪种情况，都可读取该目录中的 memory.max 和 cpu.max，获得内核强制实施的原始值（max 表示无限制）。
5. 将容器对应到其 cgroup 路径：运行 systemctl status <container-unit>（Quadlet/systemd 管理的容器），或者取得容器主进程的 PID（docker inspect --format '{{.State.Pid}}' <container>），然后读取 /proc/<pid>/cgroup。在 cgroup v2 中，其中唯一的 0::<path> 行就是相对于 /sys/fs/cgroup 的路径。（.HostConfig.CgroupParent 通常为空；它只显示显式设置的父级。）

预期结果

stat -fc %T /sys/fs/cgroup 报告 cgroup2fs；systemd-cgtop 和 systemd-cgls 显示预期的单元树，其实时数值与容器运行时通过自身 stats 命令报告的数据一致。

限制与测试依据

路径及确切的控制器文件名（memory.max、cpu.max 等）采用内核 cgroup-v2 管理指南中记录的统一层级命名；仍使用旧式 cgroup v1 的主机暴露不同的按控制器划分的文件名和限制设置（memory.limit_in_bytes），本文不涵盖这些内容。