Hogy érted, hogy kernel feletti réteg? A cgroups pont hogy része. Szerintem kifejezetten jó, hogy kernel szinten tudunk korlátozásokat bevezetni.