하위 팀에 cgroup subtree를 위임할 때 상위 제한을 바꾸거나 다른 프로세스를 옮기지 못하게 하려면 무엇을 검증하나요?

delegation은 팀이 자기 subtree의 일부 파일과 child를 관리하게 하는 권한이지, parent의 예산이나 전체 process ownership을 넘기는 일이 아닙니다. 먼저 delegated directory와 허용된 interface 파일의 owner/group, 팀 credential, cgroup namespace에서 보이는 정규화 경로를 고정합니다. 팀 credential로 자기 child의 cpu.max·memory.max를 낮추거나 workload PID를 자기 subtree의 cgroup.procs에 넣는 허용 테스트를 하고, 실제 parent의 memory.max, cpu.max, cgroup.subtree_control, cgroup.procs에 쓰는 거부 테스트를 각각 기록합니다.

경로 문자열 team/../parent/memory.max를 기준으로 보호를 확인하면 VFS 정규화와 namespace에 의존하므로 재현 가능한 경계 검증이 아닙니다. 대신 namespace에서 보이는 실제 parent 파일의 절대·정규화 경로를 열어 write 시 errno를 기록해야 합니다. 다른 팀 PID를 자기 cgroup.procs에 쓰는 시도도 별도로 확인합니다. child에 parent hard limit보다 큰 값을 쓰는 일이 파일상 허용되더라도 ancestor 예산을 완화하지 못하므로 “상위 제한 우회”가 성공한 것으로 판정하지 않습니다.

또한 parent의 memory.min·memory.low, pressure, controller 활성화와 cleanup 책임은 자동 위임되지 않습니다. cgroup.events의 populated=0은 process가 빠졌다는 신호일 뿐 volume·network·외부 리소스 정리가 끝났다는 증거가 아닙니다. 실제 systemd·container manager가 설치한 소유권과 namespace 정책은 호스트마다 달라 이 환경에서는 위 테스트를 실행하지 않았습니다. 문서 모델과 실제 errno·파일 변화를 함께 보아야 합니다.