systemd 教程 / Service Unit 详解

Service Unit 详解

一、[Service] 段核心参数

1.1 启动参数

参数	说明	示例
`Type`	服务进程类型	`Type=simple`
`ExecStart`	启动命令	`ExecStart=/usr/bin/nginx`
`ExecStartPre`	启动前执行	`ExecStartPre=/usr/sbin/nginx -t`
`ExecStartPost`	启动后执行	`ExecStartPost=/bin/sleep 1`
`ExecReload`	重载命令	`ExecReload=/bin/kill -HUP $MAINPID`
`ExecStop`	停止命令	`ExecStop=/bin/kill -QUIT $MAINPID`
`ExecStopPost`	停止后执行	`ExecStopPost=/usr/bin/cleanup.sh`
`RemainAfterExit`	进程退出后保持 active	`RemainAfterExit=yes`

完整示例：

[Unit]
Description=My Web Application
After=network.target postgresql.service

[Service]
Type=simple
User=www-data
Group=www-data
WorkingDirectory=/opt/myapp
Environment=NODE_ENV=production
EnvironmentFile=/etc/myapp/env

ExecStartPre=/opt/myapp/scripts/pre-start.sh
ExecStart=/usr/bin/node /opt/myapp/server.js
ExecReload=/bin/kill -HUP $MAINPID
ExecStop=/bin/kill -TERM $MAINPID

Restart=on-failure
RestartSec=5
TimeoutStartSec=30
TimeoutStopSec=30

[Install]
WantedBy=multi-user.target

二、Type 类型详解

Type	说明	适用场景
`simple`	ExecStart 进程即主进程（默认）	前台运行的程序
`forking`	进程 fork 到后台	传统 daemon（如 Nginx daemon 模式）
`oneshot`	执行完毕后退出	初始化脚本、一次性任务
`dbus`	获取 D-Bus 名称后就绪	D-Bus 服务
`notify`	发送 `sd_notify()` 后就绪	支持 notify 协议的服务
`idle`	等待其他任务完成后启动	控制台输出服务

2.1 simple（最常用）

[Service]
Type=simple
ExecStart=/usr/bin/myapp --foreground

💡 提示：如果程序在前台运行，就用 simple。这是最常见的类型。

2.2 forking

[Service]
Type=forking
PIDFile=/run/nginx.pid
ExecStart=/usr/sbin/nginx

⚠️ 注意：forking 类型强烈建议设置 PIDFile，否则 systemd 可能无法正确追踪主进程。

2.3 oneshot

[Service]
Type=oneshot
ExecStart=/usr/local/bin/initialize-db.sh
ExecStart=/usr/local/bin/seed-data.sh
RemainAfterExit=yes

oneshot 可以指定多个 ExecStart，按顺序执行。RemainAfterExit=yes 使任务完成后 Unit 仍保持 active。

2.4 notify

[Service]
Type=notify
ExecStart=/usr/bin/myapp
NotifyAccess=main

服务就绪时调用 sd_notify(0, "READY=1")，适合启动时间较长的服务：

// C 示例
#include <systemd/sd-daemon.h>
int main() {
    init_database();
    load_config();
    sd_notify(0, "READY=1"); // 通知 systemd 已就绪
    // 主循环...
}

三、Restart 策略

3.1 Restart 参数值

值	触发条件
`no`	不自动重启（默认）
`on-success`	退出码为 0
`on-failure`	非零退出码、被信号杀死、超时、看门狗
`on-abnormal`	被信号杀死、超时、看门狗
`on-abort`	收到未捕获的信号
`on-watchdog`	看门狗超时
`always`	无论何种原因都重启

3.2 Restart 与退出方式对照

Restart 值	正常退出(0)	异常退出(非0)	被信号杀死	超时
`no`	❌	❌	❌	❌
`on-success`	✅	❌	❌	❌
`on-failure`	❌	✅	✅	✅
`on-abnormal`	❌	❌	✅	✅
`always`	✅	✅	✅	✅

3.3 重启频率限制

[Service]
Restart=on-failure
RestartSec=5
StartLimitBurst=3       # 10 秒内最多重启 3 次
StartLimitIntervalSec=10

参数	说明	默认值
`RestartSec`	重启前等待时间	100ms
`StartLimitBurst`	时间窗口内最大重启次数	5
`StartLimitIntervalSec`	时间窗口	10s

💡 提示：合理的 RestartSec（建议 5-10 秒）可避免服务崩溃时的 CPU 风暴。

四、环境变量

[Service]
# 行内设置
Environment=MY_VAR1=value1 MY_VAR2=value2
Environment="LANG=en_US.UTF-8"

# 外部文件（- 前缀表示文件不存在时不报错）
EnvironmentFile=/etc/myapp/env
EnvironmentFile=-/etc/myapp/env.local

环境文件格式（/etc/myapp/env）：

# 注释行
DATABASE_URL=postgresql://user:pass@localhost/myapp
REDIS_URL=redis://localhost:6379
LOG_LEVEL=info

⚠️ 注意：- 前缀表示文件不存在时不报错。环境变量优先级：命令行变量 > EnvironmentFile > Environment。

五、用户与权限

[Service]
User=www-data
Group=www-data
SupplementaryGroups=www-data docker
WorkingDirectory=/opt/myapp
UMask=0027

六、资源限制

6.1 传统限制（ulimit）

[Service]
LimitNOFILE=65535      # 最大打开文件描述符
LimitNPROC=4096        # 最大进程数
LimitMEMLOCK=infinity  # 最大锁定内存
LimitCORE=infinity     # 核心转储文件大小

6.2 CGroup 资源控制（systemd v232+）

[Service]
MemoryMax=2G           # 硬内存限制
MemoryHigh=1G          # 软限制（超过后节流）
CPUQuota=200%          # CPU 配额（200% = 2 核）
CPUWeight=100          # CPU 权重
TasksMax=512           # 最大任务数

参数	说明	示例
`MemoryMax`	硬内存限制	`2G`、`512M`
`MemoryHigh`	软限制（超过后 swap 节流）	`1G`
`CPUQuota`	CPU 配额百分比	`200%`（2 核）
`CPUWeight`	CPU 权重（10-10000）	`100`
`TasksMax`	最大任务数	`512`

七、安全加固

[Service]
# 文件系统保护
ProtectSystem=strict        # /usr 只读
ProtectHome=yes             # /home 不可见
PrivateTmp=yes              # 临时目录私有化
ReadWritePaths=/var/lib/myapp  # 可写路径（配合 strict）
PrivateDevices=yes          # 设备访问私有化

# 权限控制
NoNewPrivileges=yes         # 禁止提权
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX

# 系统保护
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
LockPersonality=yes
MemoryDenyWriteExecute=yes

💡 提示：使用 systemd-analyze security myapp.service 检查安全评分（0-10，越低越安全）。

八、PID 文件与看门狗

8.1 PID 文件

[Service]
Type=forking
PIDFile=/run/myapp.pid
ExecStart=/usr/bin/myapp --daemon

⚠️ 注意：PID 文件必须在主进程 fork 完成后由主进程自己写入。

8.2 看门狗（Watchdog）

[Service]
Type=notify
WatchdogSec=30

服务必须定期发送心跳（sd_notify(0, "WATCHDOG=1")），超时未收到则标记失败。

⚠️ 注意：需要程序代码中集成 sd_notify() 调用，没有代码支持时不要启用。

九、生产场景

场景 1：Node.js 应用服务

[Unit]
Description=Node.js API Server
After=network.target redis.service
Requires=redis.service

[Service]
Type=simple
User=nodeapp
Group=nodeapp
WorkingDirectory=/opt/api-server
EnvironmentFile=/etc/api-server/env
Environment=NODE_ENV=production

ExecStart=/usr/bin/node --max-old-space-size=2048 /opt/api-server/dist/server.js
Restart=on-failure
RestartSec=5
StartLimitBurst=3
StartLimitIntervalSec=30

MemoryMax=3G
CPUQuota=200%
LimitNOFILE=65535

NoNewPrivileges=yes
ProtectSystem=strict
ProtectHome=yes
PrivateTmp=yes
ReadWritePaths=/var/log/api-server /var/lib/api-server

[Install]
WantedBy=multi-user.target

场景 2：一次性备份脚本

[Unit]
Description=Database Backup
After=postgresql.service

[Service]
Type=oneshot
User=postgres
ExecStart=/usr/local/bin/backup-db.sh
TimeoutStartSec=3600
StandardOutput=journal
StandardError=journal
SyslogIdentifier=db-backup