Questão de Sistemas Operacionais — Geral — INSTITUTO AOCP 2026

Cgroups: o mecanismo de limitação de recursos em containers

Gabarito: letra C. O mecanismo do kernel Linux que permite estabelecer limites e políticas de uso de recursos como CPU, memória e I/O, evitando que um container consuma excessivamente os recursos do host, são os Cgroups (Control Groups). Eles são a base do isolamento de recursos em plataformas como Docker, LXC e Kubernetes, conforme a literatura de sistemas operacionais.

Os Cgroups (Control Groups) são um recurso do kernel Linux que permite agrupar processos e limitar, monitorar e isolar o uso de recursos como CPU, memória, I/O de disco e rede. Em ambientes de conteinerização, cada container é colocado em um ou mais cgroups, e o kernel aplica as políticas definidas para aquele grupo. Isso garante que um container não consuma todos os recursos do host, prejudicando os demais.

A função dos cgroups é dupla: limitação (estabelecer limites máximos de uso) e priorização (definir quotas e pesos relativos). Por exemplo, é possível limitar um container a usar no máximo 2 núcleos de CPU e 512 MB de memória. Se o container tentar usar mais, o kernel impede ou reduz a alocação. Isso é essencial para a estabilidade e o isolamento em ambientes multiusuário, como servidores que executam vários containers simultaneamente.

Na prática, quando o Docker cria um container, ele configura automaticamente os cgroups para o processo principal do container. O administrador pode especificar limites via comandos como docker run --cpus=2 --memory=512m. O kernel então garante que o container não ultrapasse esses limites, mesmo que haja recursos livres no host. Isso é diferente de simplesmente monitorar o uso; é um controle ativo e impositivo.

A distinção crucial é entre cgroups (controle de recursos) e namespaces (isolamento de visibilidade). Enquanto os namespaces isolam o que o processo vê (processos, rede, sistema de arquivos), os cgroups controlam quanto ele pode usar. Ambos são fundamentais para a conteinerização, mas respondem a perguntas diferentes: "o que o container vê?" (namespaces) versus "quanto o container pode usar?" (cgroups).

A pegadinha da banca é confundir cgroups com outras tecnologias de segurança ou de rede. SELinux, por exemplo, é um mecanismo de controle de acesso obrigatório (MAC), que define quem pode acessar o quê, não quanto de recurso pode ser usado. Overlay Network e Union File System são tecnologias de rede e de sistema de arquivos, respectivamente, e não têm relação com limites de CPU/memória. Docker Registry é um repositório de imagens.

Guarde a fronteira: cgroups = limites de recursos (CPU, memória, I/O); namespaces = isolamento de visibilidade; SELinux/AppArmor = controle de acesso; Union FS = camadas de arquivos. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

SELinux (Security-Enhanced Linux) é um mecanismo de controle de acesso obrigatório (MAC) desenvolvido pela NSA, que aplica políticas de segurança sobre processos e recursos. Ele define quem pode acessar o quê, mas não estabelece limites de uso de CPU, memória ou I/O. É uma ferramenta de segurança, não de gerenciamento de recursos.

Alternativa B — ❌ Incorreta

Overlay Network é uma rede virtual que conecta containers entre si e com o host, permitindo comunicação entre eles. Ela não tem nenhuma relação com limitação de recursos como CPU, memória ou I/O. É um conceito de rede, não de gerenciamento de recursos.

Alternativa C — ✅ Correta ⟵ GABARITO

Cgroups (Control Groups) é o mecanismo do kernel Linux que agrupa processos e limita, monitora e isola o uso de recursos como CPU, memória e I/O. É exatamente o que o enunciado descreve: estabelecer limites e políticas de uso para evitar que um container consuma excessivamente os recursos do host. É a base do isolamento de recursos em Docker, LXC e Kubernetes.

Alternativa D — ❌ Incorreta

Union File System (como OverlayFS) é um sistema de arquivos que permite empilhar camadas de diretórios, criando uma visão unificada. É usado pelo Docker para gerenciar as camadas das imagens, mas não tem relação com limites de CPU, memória ou I/O.

Alternativa E — ❌ Incorreta

Docker Registry é um repositório de imagens de containers, onde as imagens são armazenadas e distribuídas. Ele não tem nenhuma função de gerenciamento de recursos do host. É um componente de infraestrutura, não de isolamento.

Gabarito: letra C