# 系统单元 ## 概述此技能提供了按照现代 Linux 服务管理最佳实践创建和强化 systemd 服务单元文件的指导。它涵盖正确的服务类型选择、依赖关系管理、安全沙箱和文件系统隔离，以创建可靠、安全的服务。 ## 何时使用此技能在以下情况下使用此技能： * 为 Web 应用程序、API、后台工作人员或守护进程创建新的 systemd 服务单元 * 使用安全和沙箱选项强化现有服务文件 * 将传统的初始化脚本或手动进程管理转换为systemd * 解决服务启动、重启或权限问题 * 实施适当的服务依赖关系和排序 ## 工作流决策树用户请求涉及systemd服务？ │ ├─ 创建新服务？ │ │ │ ├─ Web 应用程序/API → 使用“创建新服务”工作流程 │ │ → 从assets/basic-webapp.service 或assets/hardened-webapp.service 启动 │ │ │ ├─ 后台工作者/守护进程 → 使用“创建新服务”工作流程 │ │ → 从 asset/background-worker.service 开始 │ │ │ └─ 一次性初始化 → 使用“创建新服务”工作流程 │ → 从assets/oneshot-init.service开始 │ └─ 强化现有服务？ │ └─ 使用“强化现有服务”工作流程 → 安全选项参考references/systemd_options.md → 与 asset/hardened-webapp.service 进行比较以获取模式 ## 创建新服务创建新的 systemd 服务时，请按照以下步骤操作： ### 1\.选择合适的模板从“assets/”中最相关的模板开始： * **`basic-webapp.service`** ：简单的 Web 应用程序，无需大量沙箱（开发/内部使用） * **`hardened-webapp.service`** ：具有全面安全强化的生产 Web 应用程序 * **`background-worker.service`** ：队列处理器、计划任务或后台守护进程 * **`oneshot-init.service`** : 一次性初始化脚本或设置任务复制模板并按顺序自定义以下部分： ### 2\.配置 [Unit] 部分更新服务元数据和依赖项： [单位] 描述=该服务的作用的清晰描述文档=https://example.com/docs 或 man:program(8) After=network-online.目标数据库.service 想要=网络在线.target 需要=database.service **关键决定：** * **After=** ：列出必须在之后启动的服务（排序依赖） * **Wants=** ：软依赖项（即使这些失败，服务也会启动） * **Requires=** ：硬依赖项（如果这些失败，服务将失败） * 对于 Web 服务，请始终包含 `After=network-online.target` 和 `Wants=network-online.target` ### 3\.配置服务类型和执行根据应用程序的功能选择适当的服务类型： **推荐服务类型**（按优先顺序排列）： 1. **`Type=notify`** ：应用程序支持 sd_notify 协议（可靠性的最佳选择） 2. **`Type=exec`** ：标准长时间运行进程（默认值良好） 3. **`Type=oneshot`** ：一次性执行即退出（初始化脚本） **避免`Type=simple`**（差错检测）和**避免`Type=forking`**（不推荐使用的模式）。 [服务] 类型=执行 ExecStart=/usr/bin/node /opt/webapp/server.js 工作目录=/opt/webapp **始终对“ExecStart=”和相关命令使用绝对路径**。 ### 4\.配置用户和环境设置执行用户和环境变量： # 选项 1：动态用户（出于安全考虑，建议使用）动态用户=是 # 选项 2：特定用户/组用户=网络应用程序组=网络应用程序 # 环境配置环境=“NODE_ENV=生产” 环境文件=-/etc/webapp/webapp.env **最佳实践**：对于不需要特定用户的服务使用“DynamicUser=yes”。对于机密，请使用具有受限权限的“EnvironmentFile=”，而不是在服务文件中嵌入凭据。 ### 5\.配置重启策略设置适当的重启行为： Restart=on-failure # 对于网络应用程序（崩溃时重新启动） RestartSec=10 # 等待10秒再重新启动 TimeoutStartSec=30 # 如果启动时间超过 30 秒则失败 TimeoutStopSec=30 # 如果优雅停止时间超过 30 秒，则强制终止 **常见模式：** * Web 应用程序：“Restart=on-failure”和“RestartSec=10” * 关键工作人员：“Restart=always”和“RestartSec=5” * 一次性任务：省略`Restart=`（默认不重启） ### 6\.应用安全强化对于生产服务，应用渐进式安全强化： **从这些基线选项开始：** # 文件系统保护 ProtectSystem=strict # 除指定路径外整个文件系统只读 ProtectHome=yes # 隐藏 /home 目录 PrivateTmp=yes # 私有 /tmp 命名空间 ReadWritePaths=/var/lib/myapp /var/log/myapp # 可写路径白名单 NoNewPrivileges=yes # 防止权限升级 # 设备和内核保护 PrivateDevices=yes # 限制设备访问 ProtectKernelTunables=yes # 防止/proc/sys、/sys写入 ProtectKernelModules=yes # 防止内核模块加载 ProtectControlGroups=yes # 保护 cgroup 文件系统 **对于面向互联网的服务，添加：** # 网络限制 RestrictAddressFamilies=AF_INET AF_INET6 # 仅 IPv4/IPv6 # 能力限制 CapabilityBoundingSet= # 删除所有能力 # 系统调用过滤 SystemCallFilter=@系统服务系统调用架构=本机 # 内存保护 MemoryDenyWriteExecute=yes # W^X 保护锁定个性=是 **测试策略**：从最大限制开始。如果服务失败，请使用“journalctl -xeu ”来确定导致失败的限制，然后有选择地仅放宽该限制。使用“systemd-analyze security ”来验证配置后的安全状况。 ### 7\.配置[安装]部分设置服务启用的目标： [安装] WantedBy=multi-user.target # 最常见的目标（非图形多用户系统） **共同目标：** * `multi-user.target`：大多数服务的标准 * `graphical.target`: 需要图形环境的服务 * `default.target`：默认系统目标的别名 ### 8\.安装并测试服务放置服务文件并测试： #复制到系统目录 sudo cp myapp.service /etc/systemd/system/ # 重新加载 systemd 以识别新服务 sudo systemctl 守护进程重新加载 # 启动并检查状态 sudo systemctl 启动 myapp sudo systemctl 状态 myapp # 查看日志日记ctl -xeu myapp # 启用开机启动 sudo systemctl 启用 myapp ## 强化现有服务加固现有服务文件时，请按照以下步骤操作： ### 1\.分析当前配置阅读现有的服务文件并识别安全漏洞： # 检查当前的安全暴露 systemd-analyze security <服务名称> # 查看当前配置 systemctl cat <服务名称> 寻找： * 缺少沙箱选项（ProtectSystem、PrivateDevices 等） * 过于宽松的用户（不必要以 root 身份运行） * 缺少文件系统限制 * 没有能力界限 ### 2\.创建直接覆盖不要直接修改供应商提供的服务文件，而是创建一个直接覆盖： sudo systemctl edit <服务名称> 这将创建 `/etc/systemd/system/.service.d/override.conf` 并保留供应商更新。 ### 3\.逐步应用安全选项分阶段添加安全选项，每个阶段后进行测试： **第一阶段：基本隔离** [服务] # 文件系统保护保护系统=严格保护主页=是 PrivateTmp=是 ReadWritePaths=/var/lib/myapp # 添加服务需要写入的路径 # 基本设备保护私人设备=是测试： `sudo systemctl restart ` 并检查 `journalctl -xeu ` **第二阶段：内核和能力限制** [服务] # 内核保护 ProtectKernelTunables=是保护内核模块=是保护内核日志=是保护控制组=是 # 删除能力没有新权限=是能力边界集= 再次测试。 **第3阶段：网络和系统调用过滤** [服务] # 网络限制（根据服务需求进行调整） RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX # 系统调用过滤 SystemCallFilter=@系统服务系统调用架构=本机 # 内存保护 MemoryDenyWriteExecute=是锁定个性=是测试并验证功能。 ### 4\.处理常见的限制失败如果添加限制后服务失败： **错误：访问文件系统“权限被拒绝”** * 将路径添加到 `ReadWritePaths=` 或将 `ProtectSystem=` 放宽为 `full` 而不是 `strict` **错误：网络操作“不允许操作”** * 检查 `RestrictAddressFamilies=` 是否包含所需的协议 * 对于 Unix 域套接字，添加 `AF_UNIX` **错误：系统调用被阻止** * 查看“journalctl”以获取被阻止的系统调用名称 * 添加例外：`SystemCallFilter=@system-service ` **错误：无法访问设备** * 将特定设备添加到 `DeviceAllow=` 而不是删除 `PrivateDevices=` ### 5\.验证强化应用所有限制后： # 检查安全分数（越低越好） systemd-analyze security <服务名称> # 验证服务功能 sudo systemctl restart <服务名称> sudo systemctl status <服务名称> # 测试应用程序级功能 #（发出请求、检查日志、验证操作） ## 最佳实践 ### 服务类型选择 1. **对于可以实现sd_notify协议的服务，首选`Type=notify`** - 提供可靠的启动验证 2. **对标准长时间运行的进程使用`Type=exec`** - 良好的错误检测 3. **避免`Type=simple`** \- 不提供启动验证和较差的错误处理 4. **避免`Type=forking`** \- 已弃用的模式，使用 `Type=notify` 或 `Type=exec` 代替 ### 依赖管理 1. **将排序与需求分开** : 同时使用 `After=` 和 `Requires=`/`Wants=` * `After=` 控制启动顺序 * `Requires=`/`Wants=` 控制依赖关系 2. **使用`Wants=`进行软依赖**（容忍失败） 3. **使用`Requires=`进行硬依赖**（如果依赖失败则失败） 4. **对于网络服务**：始终包含 `After=network-online.target` 和 `Wants=network-online.target` ### 安全强化 1. **使用`DynamicUser=yes`**除非服务需要特定用户 2. **从最大限制开始，选择性放松** \-比渐进强化更有效 3. **将机密与配置分开** \- 对敏感值使用 `EnvironmentFile=` 4. **始终设置`NoNewPrivileges=yes`**以防止权限升级 5. **使用 `CapabilityBoundingSet=` 默认删除所有功能**，仅添加需要的功能 6. **使用`systemd-analyze security`**验证加固有效性 ### 文件系统访问 1. **首选`ProtectSystem=strict`** 并使用显式的 `ReadWritePaths=` 白名单 2. **始终启用`PrivateTmp=yes`**除非明确需要共享/tmp 3. **启用`ProtectHome=yes`**除非需要主目录访问 4. **在`/var/lib/`下创建专用目录**用于存放应用程序数据 ### 重启和恢复 1. **Web 应用程序**：`Restart=on-failure` 和 `RestartSec=10` 2. **关键工作人员**：`Restart=always` 和 `RestartSec=5` 3. **设置合理的超时** : `TimeoutStartSec=30` 和 `TimeoutStopSec=30` (根据应用调整) 4. 如果应用程序使用非零退出来获得成功，则使用 `SuccessExitStatus=` **定义自定义成功代码** ### 日志记录和调试 1. **使用结构化日志记录**：`StandardOutput=journal` 和 `StandardError=journal` 2. **设置`SyslogIdentifier=`** 更方便的日志过滤 3. **使用**调试：`journalctl -xeu `（显示扩展信息并遵循） 4. **检查依赖关系** : `systemctl list-dependency ` ## 资源 ### 参考文献/systemd_options.md 所有 systemd 单元和服务选项的综合参考文档。在以下情况下阅读此文件： * 查找特定选项语法或行为 * 详细了解安全/沙箱选项 *审查所有可用的服务类型及其权衡 * 寻找模板之外的其他强化选项使用 grep 搜索特定选项： grep -i“ProtectSystem”引用/systemd_options.md ### 资产/模板生产就绪的服务文件模板： * **`basic-webapp.service`** ：无需大量沙箱的 Web 应用程序的起点 * **`hardened-webapp.service`** ：完全强化的 Web 应用程序，具有最大的安全性 * **`background-worker.service`** ：具有安全强化功能的队列处理器或后台守护进程 * **`oneshot-init.service`** ：一次性初始化脚本模式使用这些作为起点并根据特定应用需求进行定制。 ## 常见故障排除 **加固后服务启动失败：** 1.检查日志：`journalctl -xeu ` 2. 查找“权限被拒绝”或“不允许操作”错误 3. 识别被阻止的操作（文件系统、系统调用、网络） 4.有选择地放宽相关限制 5. 重新测试和验证 **服务启动但行为不正确：** 1.验证`WorkingDirectory=`是否正确 2. 检查环境变量是否已加载（`EnvironmentFile=`） 3. 验证文件系统路径是否可访问 (`ReadWritePaths=`) 4. 检查用户/组对文件是否有适当的权限 **服务反复重启：** 1. 检查日志以了解崩溃原因：`journalctl -xeu ` 2.验证`ExecStart=`路径是否正确且可执行 3. 检查应用程序是否因缺少依赖项而崩溃 4.考虑增加`RestartSec=`以防止快速重启循环 5. 检查`Type=`是否匹配应用程序行为 **加固后无法访问网络：** 1. 验证 `RestrictAddressFamilies=` 包含所需协议（IPv4：`AF_INET`、IPv6：`AF_INET6`、Unix 套接字：`AF_UNIX`） 2. 检查防火墙或网络命名空间是否阻止访问 3. 对于仅限 localhost 的服务，请确保包含“AF_INET”

系统单元

包含技能