Linux PHP-FPM如何實現資源隔離

在Linux系統中，PHP-FPM（FastCGI Process Manager）可以通過多種方式實現資源隔離，以確保不同應用程序之間的資源使用不會相互干擾。以下是幾種常見的方法：

1. 使用不同的PHP-FPM池（Pool）

PHP-FPM允許你創建多個池，每個池可以有不同的配置，包括用戶、組、進程管理等。通過為不同的應用程序配置不同的池，可以實現資源隔離。

創建新的池配置文件

編輯PHP-FPM配置文件（通常是/etc/php-fpm.d/www.conf），復制一份并修改為新的池配置文件（例如/etc/php-fpm.d/app1.conf）。

[app1]
user = app1user
group = app1group
listen = /run/php-fpm/app1.sock
listen.owner = www-data
listen.group = www-data
pm = dynamic
pm.max_children = 5
pm.start_servers = 2
pm.min_spare_servers = 1
pm.max_spare_servers = 3

重啟PHP-FPM服務

sudo systemctl restart php-fpm

2. 使用cgroups（Control Groups）

cgroups是Linux內核的一個功能，可以限制、記錄和隔離進程組的資源（CPU、內存、磁盤I/O等）。

安裝cgroups工具

sudo apt-get install cgroup-tools

創建cgroups

sudo cgcreate -g memory:/app1
sudo cgcreate -g cpu:/app1

設置資源限制

echo "100M" | sudo tee /sys/fs/cgroup/memory/app1/memory.limit_in_bytes
echo "50000" | sudo tee /sys/fs/cgroup/cpu/app1/cpu.cfs_quota_us

將PHP-FPM進程分配到cgroups

找到PHP-FPM進程的PID，然后將其移動到相應的cgroups中。

ps aux | grep php-fpm
sudo cgclassify -g memory,cpu:app1 <PID>

3. 使用Docker

Docker是一個容器化平臺，可以輕松實現資源隔離和環境隔離。

安裝Docker

sudo apt-get install docker.io

創建Dockerfile

為每個應用程序創建一個Dockerfile。

# Dockerfile for app1
FROM php:7.4-fpm
COPY . /var/www/html
WORKDIR /var/www/html
RUN apt-get update && apt-get install -y ...
CMD ["php-fpm"]

構建Docker鏡像

sudo docker build -t app1 .

運行Docker容器

sudo docker run -d --name app1-container -p 9000:9000 -v /path/to/app1:/var/www/html app1

4. 使用SELinux或AppArmor

SELinux和AppArmor是Linux的安全模塊，可以限制進程的權限和資源訪問。

安裝和配置SELinux

sudo apt-get install selinux-basics selinux-policy-default
sudo setenforce 1

配置SELinux策略

創建自定義SELinux策略文件，限制PHP-FPM進程的資源訪問。

sudo ausearch -c 'php-fpm' --raw | audit2allow -M my-php-fpm
sudo semodule -i my-php-fpm.pp

安裝和配置AppArmor

sudo apt-get install apparmor apparmor-utils

創建AppArmor配置文件

創建一個新的AppArmor配置文件（例如/etc/apparmor.d/usr.sbin.php-fpm），并添加資源限制規則。

/usr/sbin/php-fpm {
  /var/www/html/** r,
  /run/php-fpm/ r,
  /etc/php-fpm.d/ r,
  /usr/sbin/php-fpm {
    /proc/** r,
    /sys/** r,
  },
}

加載AppArmor配置

sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.php-fpm

通過以上方法，你可以根據具體需求選擇合適的資源隔離方案，確保不同應用程序之間的資源使用不會相互干擾。