devices子系统用于控制cgroup中全部进程能够訪问哪些设备，三个控制文件：devices.allow,devices.deny,devices.list。

devices.allow用于指定cgroup中的进程能够訪问的设备, devices.deny用于指定cgroup中的进程不能訪问的设备，

devices.list用于报告cgroup中的进程訪问的设备。devices.allow文件里包括若干条目，每一个条目有四个字段：type、major、minor 和 access。

type、major 和 minor字段中使用的值相应Linux分配的设备。

參考博客：

1.devices子系统