Архитектура ошибки и симптомы сбоя

Ошибка «cgroup: fork rejected by pids controller (pids.max exceeded)» генерируется подсистемой контрольных групп cgroups v1 / cgroups v2 (pids controller). Она возникает, когда процесс внутри определенного слайса systemd, контейнера Docker/Podman или Kubernetes Pod пытается создать дочерний процесс или поток (системные вызовы fork(), vfork(), clone()), но суммарное количество PID в данной cgroup уже достигло жесткого лимита pids.max (или TasksMax в systemd). Приложение возвращает ошибку EAGAIN / Resource temporarily unavailable.

Диагностическая таблица параметров сбоя

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Поиск контрольной группы с превышенным лимитом PID

# Поиск cgroups, где текущее число PID равно лимиту (cgroups v2):
for p in /sys/fs/cgroup/**/pids.current; do 
    dir=$(dirname $p)
    max=$(cat $dir/pids.max 2>/dev/null)
    cur=$(cat $p)
    if [ "$max" != "max" ] && [ "$cur" -ge "$max" ]; then
        echo "EXCEEDED: $dir (Current: $cur / Max: $max)"
    fi
done

Сценарий 2: Увеличение TasksMax для служб Systemd

Если лимит процессов превышен системной службой (например, Nginx, PostgreSQL, GitLab):

# Открытие оверрайда конфигурации службы:
sudo systemctl edit service_name.service

# Добавьте в открывшийся файл:
[Service]
TasksMax=infinity

# Примените изменения:
sudo systemctl daemon-reload
sudo systemctl restart service_name.service

Сценарий 3: Настройка лимитов PID в Docker и Kubernetes

Для контейнеров Docker увеличьте --pids-limit:

# Запуск контейнера без ограничения PID:
docker run -d --pids-limit -1 my_image

# Либо глобально в /etc/docker/daemon.json:
{
  "default-pids-limit": 8192
}

В Kubernetes настройте параметры Kubelet в файле /var/lib/kubelet/config.yaml: podPidsLimit: 4096.