Menu Close

配置基本系统设置

Red Hat Enterprise Linux 9

配置 Red Hat Enterprise Linux 9 中基本系统设置的指南

摘要

本文档论述了 Red Hat Enterprise Linux 9 中的系统管理的基础知识。这个标题着重介绍:系统管理员在操作系统成功安装后需要完成的基本任务,使用 DNF 安装软件、使用 systemd 进行服务管理、管理用户、组和文件权限,使用 chrony 配置 NTP 和其他任务。

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。我们从这四个术语开始:master、slave、黑名单和白名单。由于此项工作十分艰巨,这些更改将在即将推出的几个发行版本中逐步实施。如需了解更多详细信息,请参阅 CTO Chris Wright 信息

对红帽文档提供反馈

我们感谢您对文档提供反馈信息。请让我们了解如何改进文档。

  • 关于特定内容的简单评论:

    1. 请确定您使用 Multi-page HTML 格式查看文档。另外,确定 Feedback 按钮出现在文档页的右上方。
    2. 用鼠标指针高亮显示您想评论的文本部分。
    3. 点在高亮文本上弹出的 Add Feedback
    4. 按照显示的步骤操作。
  • 要通过 Bugzilla 提交反馈,请创建一个新的问题单:

    1. 进入 Bugzilla 网站。
    2. 在 Component 中选择 Documentation
    3. Description 中输入您要提供的信息。包括文档相关部分的链接。
    4. Submit Bug

第 1 章 RHEL 系统角色入门

本节介绍 RHEL 系统角色是什么。另外,它介绍了如何通过 Ansible playbook 应用特定角色来执行各种系统管理任务。

1.1. RHEL 系统角色简介

RHEL 系统角色是 Ansible 角色和模块的集合。RHEL 系统角色提供了一个配置界面,用于远程管理多个 RHEL 系统。这个界面允许在多个 RHEL 版本间管理系统配置,以及处理新的主发行版本。

在 Red Hat Enterprise Linux 9 中,该接口目前由以下角色组成:

  • 证书问题和续订
  • 内核设置
  • 指标
  • 网络绑定磁盘加密客户端和网络 Bound 磁盘加密服务器
  • Networking
  • postfix
  • SSH 客户端
  • SSH 服务器
  • 系统范围加密策略
  • 终端会话记录

所有这些角色都由 AppStream 存储库中的 rhel-system-roles 软件包提供。

其他资源

1.2. RHEL 系统角色术语

您可以在本文档中找到以下术语:

Ansible playbook
Playbook 是 Ansible 的配置、部署和编配语言。它们可以描述您希望远程系统强制使用的策略,或者在一般的 IT 进程中选择一组步骤。
控制节点
安装了 Ansible 的任何机器。您可以从任何控制节点运行命令和 playbook,调用 /usr/bin/ansible 或 /usr/bin/ansible-playbook。您可以使用任意安装了 Python 的计算机作为控制节点 - 笔记本电脑、共享桌面和服务器都可以运行 Ansible。但是,您不能使用 Windows 机器作为控制节点。您可以拥有多个控制节点。
清单(Inventory)
受管节点列表。清单文件有时也称为"hostfile"。您的清单可以为每个受管节点指定像 IP 地址等信息。清单也可以管理受管节点,创建并嵌套组以更轻松地进行扩展。如需了解更多有关清单的信息,请参阅使用清单一 节。
受管节点
使用 Ansible 管理的网络设备、服务器或两者。受管节点有时也称为 "hosts(主机)"。Ansible 未安装到受管节点上。

1.3. 应用一个角色

以下流程描述了如何应用特定角色。

先决条件

  • 确保 rhel-system-roles 软件包安装在您要用作控制节点的系统上:

    # dnf install rhel-system-roles
    1. 安装 Ansible Core 软件包:

      # dnf install ansible-core

      Ansible Core 软件包提供了 ansible-playbook CLI、Ansible Vault 功能以及 RHEL Ansible 内容所需的基本模块和过滤器。

  • 确保您能够创建 Ansible 清单。

    清单表示主机、主机组,以及 Ansible playbook 使用的一些配置参数。

    playbook 通常为人类可读,并以 iniyamljson 和其他文件格式定义。

  • 确保您能够创建 Ansible playbook。

    Playbook 代表 Ansible 的配置、部署和编配语言。通过使用 playbook,您可以声明和管理远程机器的配置,部署多个远程机器,编配任何手动排序进程的步骤。

    playbook 是一个或多个 play 的列表。每个 play 都可以包括 Ansible 变量、任务或角色。

    playbook 是人类可读的,并以 yaml 格式定义。

流程

  1. 创建所需的包含您要管理的主机和组的 Ansible 清单。以下是一个使用名为 inventory.ini 的文件的示例,其包含一组名为 webservers 的主机:

    [webservers]
    host1
    host2
    host3
  2. 创建一个 Ansible playbook,包括所需角色。以下示例演示了如何通过 playbook 的 roles: 选项来使用角色:

    以下示例演示了如何通过角色( roles: 选项)来使用给定 play:

    ---
    - hosts: webservers
      roles:
    
         - rhel-system-roles.network
         - rhel-system-roles.postfix
    注意

    每个角色都包括 README 文件,该文件记录如何使用角色和支持的参数值。您还可以在角色的文档目录中找到特定角色的示例 playbook。这些文档目录默认由 rhel-system-roles 软件包提供,并可在以下位置找到:

    /usr/share/doc/rhel-system-roles/SUBSYSTEM/

    SUBSYSTEM 替换为所需角色的名称,如 postfix, metrics, network, tlog, 或 ssh

  3. 要在特定主机上执行 playbook,您必须执行以下一个操作:

    • 编辑 playbook ,以使用 hosts: host1[,host2,…​]hosts: all,并执行该命令:

      # ansible-playbook name.of.the.playbook
    • 编辑清单,以确保在组中定义了您要使用的主机,并执行命令:

      # ansible-playbook -i name.of.the.inventory name.of.the.playbook
    • 在执行 ansible-playbook 命令时指定所有主机:

      # ansible-playbook -i host1,host2,... name.of.the.playbook
      重要

      请注意,-i 标志指定所有可用主机的清单。如果您有多个目标主机,但希望选择其中一个运行 playbook 的主机,您可以在 playbook 中添加变量,以便能够选择主机。例如:

      Ansible Playbook | example-playbook.yml:
      
      
      - hosts: "{{ target_host }}"
        roles:
           - rhel-system-roles.network
           - rhel-system-roles.postfix

      Playbook 执行命令:

      # ansible-playbook -i host1,..hostn -e target_host=host5 example-playbook.yml

1.4. 其他资源



[1] 本文档会使用 rhel-system-roles 软件包自动安装。

第 2 章 更改基本环境设置

配置基本环境设置是安装过程的一部分。以下部分介绍了在稍后修改时的信息。环境的基本配置包括:

  • 日期和时间
  • 系统区域设置
  • 键盘布局
  • 语言

2.1. 配置日期和时间

因为许多原因,系统准确计时非常重要。在 Red Hat Enterprise Linux 中,NTP 协议保证计时的准确性,该协议由用户空间运行的守护进程实施。user-space 守护进程更新内核中运行的系统时钟。系统时钟可以通过使用不同的时钟源来维护系统的时间。

Red Hat Enterprise Linux 8 及更新的版本使用 chronyd 守护进程来实现 NTPchronyd 包括在 chrony 软件包中。如需更多信息,请参阅使用 chrony 来配置 NTP

2.1.1. 显示当前日期和时间

要显示当前日期和时间,请使用这些步骤之 一。

流程

  1. 输入 date 命令:

    $ date
    Mon Mar 30 16:02:59 CEST 2020
  2. 要查看更多详细信息,请使用 timedatectl 命令:

    $ timedatectl
    Local time: Mon 2020-03-30 16:04:42 CEST
    Universal time: Mon 2020-03-30 14:04:42 UTC
      RTC time: Mon 2020-03-30 14:04:41
     Time zone: Europe/Prague (CEST, +0200)
    System clock synchronized: yes
    NTP service: active
    RTC in local TZ: no

其他资源

2.2. 配置系统区域设置

系统范围的区域设置保存在 /etc/locale.conf 文件中,该文件在早期引导时由 systemd 守护进程读取。每个服务或用户都会继承在 /etc/locale.conf 中配置的 locale 设置,单独程序或个人用户可以单独覆盖它们。

这部分论述了如何管理系统区域设置。

流程

  • 要列出系统可用区域设置,请执行以下操作:

    $ localectl list-locales
    C.utf8
    aa_DJ
    aa_DJ.iso88591
    aa_DJ.utf8
    ...
  • 显示系统区域设置的当前状态:

    $ localectl status
  • 要设置或更改默认的系统区域设置,请使用 localectl set-locale 子命令(使用 root 用户)。例如:

    # localectl set-locale LANG=en_US

其他资源

  • man localectl(1), man locale(7), 和 man locale.conf(5)

2.3. 配置键盘布局

键盘布局设置控制文本控制台和图形用户界面中的布局。

流程

  • 要列出可用的键映射:

    $ localectl list-keymaps
    ANSI-dvorak
    al
    al-plisi
    amiga-de
    amiga-us
    ...
  • 显示 keymaps 设置的当前状态:

    $ localectl status
    ...
    VC Keymap: us
    ...
  • 要设置或更改默认系统键映射,请执行以下操作:例如:

    # localectl set-keymap us

其他资源

  • man localectl(1), man locale(7), 和 man locale.conf(5)

2.4. 使用桌面 GUI 更改语言

这一段讲述了如何使用桌面 GUI 改变系统语言。

先决条件

  • 在您的系统中会安装所需的语言软件包

流程

  1. System 菜单中点它的图标打开 GNOME Control Center

    cs system menu9

  2. GNOME Control Center 中,从左边栏中选择 Region & Language
  3. Language 菜单。

    cs language menu9

  4. 在菜单里选择所需地区和语言。

    cs select region language9

    如果您的区域及语言没有被列出,向下滚动页面,然后点 More 选择可用的地区和语言。

    cs available region language9

  5. Done
  6. Restart 以使更改生效。

    cs restart region language9

注意

有些应用程序不支持某些语言。没有被翻译的应用程序会使用美国英语。

2.5. 其他资源

第 3 章 配置和管理网络

这部分论述了如何在 Red Hat Enterprise Linux 中添加以太网连接的不同选项。

3.1. 在图形安装模式中配置网络和主机名

按照以下步骤来配置您的网络和主机名。

步骤

  1. Installation Summary 窗口中点击 Network and Host Name
  2. 在左侧窗格的列表中选择一个接口。详情显示在右侧方框中。

    注意
    • 有几个可用来使用持久名称识别网络设备的网络设备命名标准,例如: em1wl3sp0。有关这些标准的详情,请查看 配置和管理联网文档
  3. 使用 ON/OFF 开关来启用或禁用所选接口。

    注意

    安装程序自动检测到本地可访问的界面,您无法手动添加或删除它们。

  4. 点击 + 添加虚拟网络接口,可以是:Team(已弃用)、Bonnd、Bridge 或 VLAN。
  5. - 删除虚拟接口。
  6. Configure 更改设置,如 IP 地址、DNS 服务器或者现有接口的路由配置(虚拟和物理)。
  7. Host Name 字段中输入您系统的主机名。

    注意
    • 主机名可以是完全限定域名(FQDN),其格式为 hostname.domainname,也可以是没有域名的短主机名。许多网络具有动态主机配置协议(DHCP)服务,该服务可自动给连接的系统提供域名。要允许 DHCP 服务为这台机器分配域名,请只指定简短主机名。localhost 值意味着没有为目标系统配置特定的静态主机名,安装的系统的实际主机名是在处理网络配置的过程中配置的,例如,通过使用 DHCP 或 DNS 的 NetworkManager
    • 主机名只能包含字母数字字符和 -.主机名不能以 -. 开始或结束。
  8. 单击 Apply,将主机名应用到安装程序环境。
  9. 或者,在 Network and Hostname 窗口中,您可以选择 Wireless 选项。单击右侧窗格中的 Select network 来选择您的 wifi 连接,根据需要输入密码,然后点击 Done

3.2. 使用 nmcli 配置静态以太网连接

这个步骤描述了使用 nmcli 实用程序在以下设置中添加以太网连接:

  • 静态 IPv4 地址 - 192.0.2.1/24 子网掩码
  • 静态 IPv6 地址 - 2001:db8:1::1/64 子网掩码
  • IPv4 默认网关 - 192.0.2.254
  • IPv6 默认网关 - 2001:db8:1::fffe
  • IPv4 DNS 服务器 - 192.0.2.200
  • IPv6 DNS 服务器 - 2001:db8:1::ffbb
  • DNS 搜索域 - example.com

流程

  1. 为以太网连接添加新的 NetworkManager 连接配置集:

    # nmcli connection add con-name Example-Connection ifname enp7s0 type ethernet

    可以进一步修改您创建的 Example-Connection 连接配置集。

  2. 设置 IPv4 地址:

    # nmcli connection modify Example-Connection ipv4.addresses 192.0.2.1/24
  3. 设置 IPv6 地址:

    # nmcli connection modify Example-Connection ipv6.addresses 2001:db8:1::1/64
  4. 将 IPv4 和 IPv6 连接方法设置为 manual

    # nmcli connection modify Example-Connection ipv4.method manual
    # nmcli connection modify Example-Connection ipv6.method manual
  5. 设置 IPv4 和 IPv6 默认网关:

    # nmcli connection modify Example-Connection ipv4.gateway 192.0.2.254
    # nmcli connection modify Example-Connection ipv6.gateway 2001:db8:1::fffe
  6. 设置 IPv4 和 IPv6 DNS 服务器地址:

    # nmcli connection modify Example-Connection ipv4.dns "192.0.2.200"
    # nmcli connection modify Example-Connection ipv6.dns "2001:db8:1::ffbb"

    要设置多个 DNS 服务器,以空格分隔并用引号括起来。

  7. 为 IPv4 和 IPv6 连接设置 DNS 搜索域:

    # nmcli connection modify Example-Connection ipv4.dns-search example.com
    # nmcli connection modify Example-Connection ipv6.dns-search example.com
  8. 激活连接配置集:

    # nmcli connection up Example-Connection
    Connection successfully activated (D-Bus active path: /org/freedesktop/NetworkManager/ActiveConnection/13)

验证步骤

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp7s0      ethernet  connected  Example-Connection
  2. 显示连接配置集的所有设置:

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp7s0
    ...
  3. 使用 ping 程序来验证这个主机是否可以向其它主机发送数据包。

    • 查找同一子网中的 IP 地址。

      对于 IPv4:

      # ping 192.0.2.3

      对于 IPv6:

      # ping 2001:db8:1::2

      如果命令失败,请验证 IP 和子网的设置。

    • 在远程子网中查找 IP 地址。

      对于 IPv4:

      # ping 198.162.3.1

      对于 IPv6:

      # ping 2001:db8:2::1
      • 如果命令失败,则使用 ping 默认网关来验证设置。

        对于 IPv4:

        # ping 192.0.2.254

        对于 IPv6:

        # ping 2001:db8:1::fff3
  4. 使用 host 实用程序来验证名称解析是否正常工作。例如:

    # host client.example.com

    如果命令返回任何错误,如 connection timed outno servers could be reached,请验证您的 DNS 设置。

故障排除步骤

  1. 如果连接失败,或者网络接口在上线和关闭状态间切换:

    • 确保网络电缆插入到主机和交换机。
    • 检查连接失败是否只存在于这个主机上,或者其他连接到该服务器连接的同一交换机的主机中。
    • 验证网络电缆和网络接口是否如预期工作。执行硬件诊断步骤并替换有缺陷的电缆和网络接口卡。
    • 如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免这个问题,请参阅 NetworkManager 服务重启后复制连接

其他资源

3.3. 使用 nmtui 添加连接配置集

nmtui 应用程序为 NetworkManager 提供了一个文本用户界面。以下介绍了如何添加新连接配置集的步骤。

先决条件

  • 已安装 NetworkManager-tui 软件包。

流程

  1. 启动 NetworkManager 文本用户界面工具:

    # nmtui
  2. 选择 Edit a connection 菜单项,点 Enter
  3. 选择 Add 按钮,点 Enter
  4. 选择 Ethernet,点 Enter
  5. 输入连接详情信息。

    在 nmtui 中添加连接
  6. 选择 OK 保存更改。
  7. 选择 Back 返回主菜单。
  8. 选择 Activate a connection 并点 Enter
  9. 选择新的连接条目,点 Enter 键激活连接。
  10. 选择 Back 返回主菜单。
  11. 选择 Quit

验证步骤

  1. 显示设备和连接的状态:

    # nmcli device status
    DEVICE      TYPE      STATE      CONNECTION
    enp1s0      ethernet  connected  Example-Connection
  2. 显示连接配置集的所有设置:

    # nmcli connection show Example-Connection
    connection.id:              Example-Connection
    connection.uuid:            b6cdfa1c-e4ad-46e5-af8b-a75f06b79f76
    connection.stable-id:       --
    connection.type:            802-3-ethernet
    connection.interface-name:  enp1s0
    ...

    如果磁盘中的配置与设备中的配置不匹配,则启动或重启 NetworkManager 会创建一个代表该设备的配置的内存连接。有关详情以及如何避免此问题,请参阅 NetworkManager 服务重启后复制连接

    其他资源

3.4. 在 RHEL 9 web 控制台中管理网络

在 Web 控制台中,使用 Networking 菜单可以:

  • 显示当前接收并发送的数据包
  • 显示可用网络接口最重要的信息
  • 显示网络日志的内容。
  • 添加各种网络接口类型(bond、team、bridge、VLAN)

图 3.1. 在 RHEL web 控制台中管理网络

CS getting started networking new

3.5. 使用 RHEL 系统角色管理网络

您可以使用 network 角色在多目标机器上配置网络连接。

network 角色可以配置以下类型的接口:

  • Ethernet
  • Bridge
  • Bonded
  • VLAN
  • MacVLAN
  • Infiniband

每个主机所需的网络连接都作为 network_connections 变量中的列表提供。

警告

network 角色更新或者创建目标系统中的所有连接配置集,与在 network_connections 变量中指定的方法完全相同。因此,如果选项只在系统中出现而没有出现在 network_connections 变量中,network 角色会从指定的配置集中删除选项。

以下示例演示了如何应用 network 角色来确保存在与所需参数的以太网连接:

应用网络角色的 playbook 示例,以设置使用所需参数的以太网连接

# SPDX-License-Identifier: BSD-3-Clause
---
- hosts: network-test
  vars:
    network_connections:

      # Create one ethernet profile and activate it.
      # The profile uses automatic IP addressing
      # and is tied to the interface by MAC address.
      - name: prod1
        state: up
        type: ethernet
        autoconnect: yes
        mac: "00:00:5e:00:53:00"
        mtu: 1450

  roles:
    - rhel-system-roles.network

3.6. 其他资源

第 4 章 注册系统并管理订阅

订阅覆盖了在 Red Hat Enterprise Linux 中安装的产品,包括操作系统本身。

您可以使用 Red Hat Content Delivery Network 订阅来跟踪:

  • 注册的系统
  • 在您的系统中安装的产品
  • 附加到安装产品的订阅

4.1. 安装后注册系统

如果您在安装过程中还没有注册系统,请使用以下步骤注册您的系统。

先决条件

流程

  1. 注册并自动订阅您的系统。

    # subscription-manager register --username <username> --password <password> --auto-attach
    Registering to: subscription.rhsm.redhat.com:443/subscription
    The system has been registered with ID: 37to907c-ece6-49ea-9174-20b87ajk9ee7
    The registered system name is: client1.idm.example.com
    Installed Product Current Status:
    Product Name: Red Hat Enterprise Linux for x86_64
    Status:       Subscribed

    该命令提示您输入您的红帽客户门户网站用户名和密码。

    如果注册过程失败,您可以使用一个特定的池来注册您的系统。有关如何操作的指南,请执行以下步骤:

    1. 确定您需要的订阅池 ID:

      # subscription-manager list --available

      这个命令会显示您的红帽账户中的所有可用订阅。对于每个订阅,会显示各种相关信息,包括池 ID。

    2. 通过使用上一步中决定的池 ID 替换 pool_id 来为您的系统附加适当的订阅:

      # subscription-manager attach --pool=pool_id
注意

要将系统注册到 Red Hat Insights,您可以使用 rhc connect 程序。请参阅 设置红帽连接器

4.2. 在 web 控制台中使用凭证注册订阅

使用以下步骤通过 RHEL web 控制台使用帐户凭证注册新安装的 Red Hat Enterprise Linux。

先决条件

  • 红帽客户门户网站中的有效用户帐户。

    请参阅 创建红帽登录 页面。

  • RHEL 系统的有效订阅。

流程

  1. 登录到 RHEL web 控制台。详情请参阅 Web 控制台的日志记录
  2. Overview 页面中的 Health 文件中,点 Not registered 警告,或者点击主菜单中的 Subscriptions 来进入页面。

    cockpit subscription Health .

  3. Overview 文件中,点 Register

    cockpit subscription Overview

  4. Register system 对话框中,选择您要使用您的帐户凭证进行注册。

    cockpit subscriptions account

  5. 输入您的用户名。
  6. 输入您的密码。
  7. (可选)输入您的机构名称或 ID。

    如果您的帐户属于红帽客户门户网站中的多个机构,您必须添加机构名称或机构 ID。要获得机构 ID,请联系您的红帽相关人员。

    • 如果您不想将您的系统连接到 Red Hat Insights,请取消选中 Insights 复选框。
  8. Register 按钮。

此时您的 Red Hat Enterprise Linux 系统已被成功注册。

4.3. 在 GNOME 中使用红帽帐户注册系统

按照以下步骤将您的系统注册到您的红帽帐户中。

先决条件

  • 红帽客户门户网站中的有效帐户。

    对于新用户注册的详情,请参阅创建红帽登陆页。

流程

  1. 进入系统菜单,该菜单可从右上角访问,点 Settings 图标。
  2. DetailsAbout 部分,点 Register
  3. 选择 Registration Server
  4. 如果没有使用红帽服务器,在 URL 项中输入服务器地址。
  5. Registration Type 菜单中选 Red Hat Account
  6. Registration Details 中:

    • Login 项中输入您的红帽帐户用户名。
    • Password 项中输入您的红帽帐户密码。
    • Organization 项中输入您的机构名称。
  7. Register

4.4. 在 GNOME 中使用激活码注册系统

按照以下步骤,使用激活码注册您的系统。您可从您的机构管理员获得激活码。

先决条件

  • 激活码。

    有关生成新激活键的详情,查看 Activation Keys 页。

流程

  1. 进入系统菜单,该菜单可从右上角访问,点 Settings 图标。
  2. DetailsAbout 部分,点 Register
  3. 选择 Registration Server
  4. 如果没有使用红帽服务器,输入自定义的服务器的 URL
  5. Registration Type 菜单中选 Activation Keys
  6. Registration Details 中:

    • 输入 激活码

      使用以逗号(,)分隔多个键。

    • Organization 字段中输入您的机构名称或者 ID。
  7. Register

第 5 章 在引导时启动 systemd 服务

systemd 是 Linux 操作系统的系统和服务管理器,它引进了 systemd 单元的概念。

本节介绍了如何在引导时启用或禁用服务。它还介绍了如何通过 Web 控制台管理服务。

5.1. 启用或禁用服务

在安装过程中,可以设置在系统引导时启用或禁用哪些服务。您还可以在已安装的操作系统中启用或禁用服务。

这部分论述了在已安装的操作系统中启用或者禁用这些服务的步骤:

先决条件

  • 您必须有对该系统的根权限。

流程

  1. 要启用服务,请使用 enable 选项:

    # systemctl enable service_name

    用您要启用的服务替换 service_name

    您还可以使用一个命令启用并启动服务:

    # systemctl enable --now service_name
  2. 要禁用某个服务,使用 disable 选项:

    # systemctl disable service_name

    使用您要禁用的服务替换 service_name

警告

您不能启用之前已屏蔽的服务。您需要首先卸装它:

# systemctl unmask service_name

5.2. 在 RHEL web 控制台中管理服务

本节介绍了如何使用 Web 控制台启用或禁用服务。您可以管理 systemd 目标、服务、套接字、计时器和路径。您还可以检查服务的状态、启动或停止服务、启用或者禁用这些服务。

先决条件

  • 您必须有对该系统的根权限。

流程

  1. 在您首选项的 Web 浏览器中打开 localhost:9090
  2. 使用您系统中的 root 凭证登录到 web 控制台。
  3. 要显示 web 控制台面板,请单击位于窗口左上角的 Host 图标。

    管理服务 Web 控制台
  4. 在菜单中点击 Services

    您可以管理 systemd 目标、服务、套接字、计时器和路径。

  5. 例如,要管理服务 NFS 客户端服务

    1. Targets
    2. 选择服务 NFS 客户端服务
    3. 要启用或禁用该服务,点 Toogle 按钮。
    4. 要停止该服务,点 按钮并选择选项 Stop

      停止服务 Web 控制台

第 6 章 配置系统安全性

计算机安全性涉及到对硬件、软件、信息和服务的保护。计算机安全性是一项非常关键的任务,特别是对于那些处理敏感数据并处理商业事务的企业。

这部分只论述安装操作系统后您可以配置的基本安全功能。

6.1. 启用 firewalld 服务

防火墙是一个网络安全系统,它可根据配置的安全规则监控并控制进入和离开的网络流量。防火墙通常在可信内部网络和其它网络间建立一个屏障。

在安装过程中,Red Hat Enterprise Linux 的防火墙 firewalld 服务会被自动启用。

要启用 firewalld 服务,请按照以下步骤执行。

流程

  • 显示 firewalld 的当前状态:

    $ systemctl status firewalld
    ● firewalld.service - firewalld - dynamic firewall daemon
       Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
       Active: inactive (dead)
    ...
  • 如果没有启用并运行 firewalld,切换到 root 用户,启动 firewalld 服务并在系统重启后自动启动它:

    # systemctl enable --now firewalld

验证步骤

  • 检查 firewalld 已在运行并启用:

    $ systemctl status firewalld
    ● firewalld.service - firewalld - dynamic firewall daemon
       Loaded: loaded (/usr/lib/systemd/system/firewalld.service; enabled; vendor preset: enabled)
       Active: active (running)
    ...

其他资源

6.2. 管理基本 SELinux 设置

Security-Enhanced Linux(SELinux)是系统安全性的额外层,可决定哪些进程可访问哪些文件、目录和端口。这些权限在 SELinux 策略中定义。策略是一组指导 SELinux 安全引擎的规则。

SELinux 有两个可能的状态:

  • Disabled
  • Enabled

启用 SELinux 时,它以以下模式之一运行:

  • Enabled

    • Enforcing
    • Permissive

enforcing 模式 中,SELinux 强制执行载入的策略。SELinux 会基于 SELinux 策略规则来拒绝访问,只有明确指定允许的操作才可以被接受。Enforcing 模式是最安全的 SELinux 模式,它是安装后的默认模式。

permissive 模式 中,SELinux 不强制执行载入的策略。SELinux 不会拒绝访问,但报告违反了 /var/log/audit/audit.log 日志的规则的操作。Permissive 模式是安装过程中的默认模式。在一些特殊情况下,permissive 模式也很有用,如进行故障排除时。

其他资源

6.3. 确保 selinux 的所需状态

默认情况下,SELinux 在 enforcing 模式下运行。然而,在特定情况下,您可以将 SELinux 设置为 permissive 模式,甚至可以禁用 SELinux。

重要

红帽建议使您的系统保持在 enforcing 模式下。为了进行调试,您可以将 SELinux 设置为 permissive 模式。

按照以下步骤更改系统中 SELinux 的状态和模式。

流程

  1. 显示当前的 SELinux 模式:

    $ getenforce
  2. 临时设置 SELinux:

    1. Enforcing 模式:

      # setenforce Enforcing
    2. Permissive 模式:

      # setenforce Permissive
      注意

      重启后,SELinux 模式被设置为在 /etc/selinux/config 配置文件中指定的值。

  3. 要将 SELinux 模式设定为在重启后会被保留,修改 /etc/selinux/config 配置文件中的 SELINUX 变量。

    例如: 将 SELinux 切换到 enforcing 模式:

    # This file controls the state of SELinux on the system.
    # SELINUX= can take one of these three values:
    #     enforcing - SELinux security policy is enforced.
    #     permissive - SELinux prints warnings instead of enforcing.
    #     disabled - No SELinux policy is loaded.
    SELINUX=enforcing
    ...
    警告

    禁用 SELinux 会降低您的系统安全性。避免使用 /etc/selinux/config 文件中的 SELINUX=disabled 选项来禁用 SELinux,因为这可能导致内存泄漏和竞争条件导致内核 panic。反之,应通过在内核命令行中添加 selinux=0 参数来禁用 SELinux。如需更多信息,请参阅在引导时进入 SELinux 模式

6.4. 其他资源

第 7 章 管理用户帐户入门

Red Hat Enterprise Linux 是多用户操作系统,可让不同计算机中的多个用户访问在同一机器中安装的单一系统。每个用户都在其自身帐户下运行,因此管理用户帐户代表Red Hat Enterprise Linux 系统管理的一个核心元素。

以下是不同类型的用户帐户:

  • 普通用户帐户:

    为特定系统用户创建普通帐户。这些帐户可以在正常的系统管理过程中添加、删除和修改。

  • 系统用户帐户:

    系统用户帐户代表系统中的特定应用程序标识符。这些帐户一般只在软件安装时添加或操作,它们不会在以后修改。

    警告

    系统帐户假定在一个系统中本地可用。如果这些帐户被远程配置和提供,比如在 LDAP 配置实例中,系统中断和服务启动失败可能会发生。

    对于系统帐户,1000 以下的用户 ID 被保留。对于普通帐户,使用从 1000 开始的 ID。但推荐做法是使用从 5000 开始的 ID。有关分配 ID,请查看 /etc/login.defs 文件。

  • Group:

    组是一个实体,可将多个用户帐户组合在一起以满足共同目的,例如授予对特定文件的访问权限。

7.1. 使用命令行工具管理帐户和组群

这部分论述了管理用户帐户和组群的基本命令行工具。

  • 显示用户和组群 ID:

    $ id
    uid=1000(example.user) gid=1000(example.user) groups=1000(example.user),10(wheel) context=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
  • 要创建新用户帐户,请执行以下操作:

    # useradd example.user
  • example.user 所属用户帐户分配新密码:

    # passwd example.user
  • 将用户添加到组中:

    # usermod -a -G example.group example.user

其他资源

  • man useradd(8), man passwd(1), 和 man usermod(8)

7.2. Web 控制台中管理的系统用户帐户

您可在 RHEL web 控制台中显示用户帐户:

  • 在访问系统时验证用户。
  • 设置系统的访问权限。

RHEL web 控制台显示系统中的所有用户帐户。因此,在首次登录 web 控制台后,至少可以看到一个可用的用户帐户。

登录到 RHEL web 控制台后,您可以执行以下操作:

  • 创建新用户帐户。
  • 更改其参数。
  • 锁定帐户。
  • 终止用户会话。

7.3. 使用 Web 控制台添加新帐户

使用以下步骤将用户帐户添加到系统,并通过 RHEL web 控制台为帐户设置管理权限。

先决条件

流程

  1. 登录到 RHEL web 控制台。
  2. Account
  3. Create New Account
  1. Full Name 字段中输入用户全名。

    RHEL web 控制台会自动在全名中推荐用户名并在 User Name 字段中填充该用户名。如果您不想使用原始命名规则(由名的第一个字母和完整的姓组成),对它进行更新。

  2. Password/Confirm 字段中输入密码并重新输入该密码以便验证您的密码是否正确。

    下面的颜色栏显示您输入密码的安全等级,这不允许您创建带弱密码的用户。

  1. Create 保存设置并关闭对话框。
  2. 选择新创建的帐户。
  3. Roles 项中选择 Server Administrator

    cockpit terminate session pf4

    现在您可以在 Accounts 设置中看到新帐户,您可以使用凭证连接到该系统。

第 8 章 转储崩溃的内核以便稍后进行分析

要分析系统崩溃的原因,可以使用 kdump 服务保存系统内存内容,以便稍后进行分析。本节概述了 kdump 以及使用 RHEL web 控制台或使用对应的 RHEL 系统角色配置 kdump 的信息。

8.1. kdump

kdump 是提供崩溃转储机制的服务。该服务可让您保存系统内存内容已用于分析。kdump 使用 kexec 系统调用在没有重启的情况下引导至第二个内核( 捕获内核),然后捕获崩溃内核的内存( 崩溃转储vmcore)并将其保存到文件中。这个第二个内核位于系统内存保留的一部分。

重要

内核崩溃转储可能会是系统失败时唯一可用的信息(关键错误)。因此,在关键任务环境中运行 kdump 非常重要。红帽建议系统管理员在正常内核更新周期内定期更新和测试 kexec-tools。这在部署了新内核功能时尤为重要。

您可以为机器上的所有安装内核启用 kdump,或只为指定内核启用 kdump。当计算机上有多个内核使用时,这非常有用,其中一些内核足够稳定,没有关注它们可以崩溃。

安装 kdump 时,会创建一个默认的 /etc/kdump.conf 文件。该文件包含默认最小 kdump 配置。您可以编辑此文件来自定义 kdump 配置,但这不是必需的。

8.2. 在 web 控制台中配置 kdump 内存用量和目标位置

下面的步骤显示如何使用 RHEL web 控制台界面中的内核转储标签页配置 kdump 内核保留的内存量。它还介绍了如何指定 vmcore 转储文件的目标位置以及如何测试您的配置。

步骤

  1. 打开 Kernel Dump 标签页,启动 kdump 服务。
  2. 使用命令行配置 kdump 内存用量。
  3. Crash dump location 选项旁的链接。

    Cockpit kdump 主屏幕
  4. 从下拉菜单中选择 Local Filesystem 选项,并指定要保存转储的目录。

    Cockpit kdump 位置
    • 或者,从下拉菜单中选择 Remote over SSH 选项,使用 SSH 协议将该 vmcore 发送到远程机器。

      Serverssh keyDirectory 项中提供远程机器的地址、ssh 密钥位置和目的地目录。

    • 另一种选择是从下拉菜单中选择 Remote over NFS 选项,并填写 Mount 字段,以使用 NFS 协议将 vmcore 发送到远程计算机。

      注意

      选择 Compression 复选框来缩小 vmcore 文件的大小。

  5. 崩溃内核以测试您的配置。

    Cockpit kdump 测试
    1. 单击 Test 配置
    2. Test kdump settings 字段中,点 Crash system

      警告

      这一步会破坏内核的执行,并导致系统崩溃和数据丢失。

8.3. 使用 RHEL 系统角色的 kdump

RHEL 系统角色是 Ansible 角色和模块的集合,可为远程管理多个 RHEL 系统提供一致的配置界面。kdump 角色可让您在多个系统中设置基本内核转储参数。

警告

通过替换 /etc/kdump.conf 文件,kdump 角色完全取代了受管主机的 kdump 配置。另外,如果应用了 kdump 角色,则之前的所有 kdump 设置也会被替换,即使它们没有被角色变量指定,也可以替换 /etc/sysconfig/kdump 文件。

以下示例 playbook 演示了如何应用 kdump 系统角色来设置崩溃转储文件的位置:

---
- hosts: kdump-test
  vars:
    kdump_path: /var/crash
  roles:
    - rhel-system-roles.kdump

有关 kdump 角色变量的详情,请安装 rhel-system-roles 软件包,并参阅 /usr/share/doc/rhel-system-roles/kdump 目录中的 README.md 或者README.html 文件。

8.4. 其他资源

第 9 章 恢复系统

要使用现有备份来恢复系统,Red Hat Enterprise Linux 提供了一个 Relax-and-Recover(ReaR)程序。

您可以使用这个工具作为灾难恢复解决方案,也用于系统迁移。

该工具可让您执行以下任务:

  • 生成可引导镜像,并使用镜像从现有备份中恢复系统。
  • 复制原始存储布局。
  • 恢复用户和系统文件。
  • 将系统还原到不同的硬件中。

另外,对于灾难恢复,您还可以将某些备份软件与 ReaR 集成。

设置 ReaR 涉及以下高级别的操作:

  1. 安装 ReaR。
  2. 修改 ReaR 配置文件以添加备份方法详情。
  3. 创建救援系统。
  4. 生成备份文件。

9.1. 设置 ReaR

使用以下步骤为 使用 Relax-and-Recover(ReaR)程序安装软件包,创建救援系统,配置并生成备份。

先决条件

  • 根据备份恢复计划完成必要的配置。

    请注意: 您可以使用 NETFS 备份方法,该方法是 ReaR 完全整合的、内置的方法。

流程

  1. 运行以下命令安装 ReaR 工具:

    # dnf install rear
  2. 在您选择的编辑器中修改 ReaR 配置文件,例如:

    # vi /etc/rear/local.conf
  3. /etc/rear/local.conf 中添加备份设置详情。例如,在使用 NETFS 备份方法时添加以下行:

    BACKUP=NETFS
    BACKUP_URL=backup.location

    使用备份位置的 URL 替换 backup.location

  4. 要将 ReaR 配置为在创建新归档时保留之前的备份归档,并在配置文件中添加以下行:

    NETFS_KEEP_OLD_BACKUP_COPY=y
  5. 要让递增形式进行备份,在每个运行中只备份修改了的文件,添加以下行:

    BACKUP_TYPE=incremental
  6. 创建一个救援系统:

    # rear mkrescue
  7. 根据恢复计划进行备份。例如,在使用 NETFS 备份方法时,运行以下命令:

    # rear mkbackuponly

    或者,您可以运行以下命令,在一个步骤中创建救援系统和备份:

    # rear mkbackup

    该命令结合了 rear mkrescuerear mkbackuponly 命令的功能。

9.2. 在 64 位 IBM Z 构架中使用 ReaR rescue 镜像

64 位 IBM Z 构架中现在作为技术预览提供了基本的 Relax 和 Recover(ReaR)功能。您只能在 z/VM 环境中在 IBM Z 上创建 ReaR 救援镜像。备份和恢复逻辑分区(LPAR)还没有测试。

重要

64 位 IBM Z 架构上的 ReaR 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议(SLA)支持,且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能,并有机会在开发阶段提供反馈意见。有关红帽技术预览功能支持范围的更多信息,请参阅 https://access.redhat.com/support/offerings/techpreview

当前唯一可用的输出方法是 Initial Program Load(IPL)。IPL 生成内核和初始 ramdisk(initrd),可与 zIPL 引导装载程序一起使用。

先决条件

  • 已安装 ReaR。

    • 要安装 ReaR,请运行 dnf install rear 命令

流程

/etc/rear/local.conf 中添加以下变量,配置 ReaR 在 64 位 IBM Z 构架中生成救援镜像:

  1. 要配置 IPL 输出方法,请添加 OUTPUT=IPL
  2. 要配置备份方法和目的地,请添加 BACKUPBACKUP_URL 变量。例如:

    BACKUP=NETFS
    
    BACKUP_URL=nfs://<nfsserver name>/<share path>
    重要

    64 位 IBM Z 构架中目前不支持本地备份存储。

  3. 另外,您还可以配置 OUTPUT_URL 变量来保存内核和 initrd 文件。默认情况下,OUTPUT_URLBACKUP_URL 一致。
  4. 执行备份和恢复镜像创建:

    rear mkbackup
  5. 这会在 BACKUP_URLOUTPUT_URL (如果设置)变量指定的位置创建内核和 initrd 文件,并使用指定的备份方法进行备份。
  6. 要恢复系统,请使用第 3 步中创建的 ReaR 内核和 initrd 文件,并从直接附加存储设备(DASD)启动,或使用 zipl 引导装载程序、kernel 和 initrd 附加 SCSI 设备进行引导。如需更多信息,请参阅使用准备的 DASD
  7. 当救援内核和 initrd 引导时,它会启动 ReaR 救援环境。继续进行系统恢复。
警告

目前,救援过程会重新格式化连接到该系统的所有 DASD(直接附加存储设备)。如果系统存储设备中存在宝贵数据,则不要尝试系统恢复。这包括用于引导到救援环境的 zipl bootloader、ReaR 内核和 initrd 中准备的设备。确保保留副本。

第 10 章 使用日志文件进行故障排除

日志文件包含有关系统的信息,包括其上运行的内核、服务和应用程序。这些信息可帮助故障排除问题或监控系统功能。Red Hat Enterprise Linux 中的日志记录系统基于内置的 syslog 协议。特定的程序使用这个系统记录事件并将其整理到日志文件中,这些文件在审核操作系统和故障排除各种问题时非常有用。

10.1. 处理 syslog 信息的服务

以下两个服务处理 syslog 信息:

  • systemd-journald 守护进程
  • Rsyslog 服务

systemd-journald 守护进程收集来自各种来源的信息并将其转发到 Rsyslog 以便进一步处理。systemd-journald 守护进程从以下来源收集信息:

  • 内核
  • 引导过程的早期阶段
  • 启动并运行守护进程的标准和错误输出
  • Syslog

Rsyslog 服务根据类型和优先权对 syslog 信息进行排序,并将其写入 /var/log 目录下的文件中。/var/log 目录会永久保存日志信息。

10.2. 存储 syslog 信息的子目录

/var/log 下的以下子目录保存了 syslog 信息。

  • /var/log/messages - 除以下外的所有 syslog 信息
  • /var/log/secure - 与安全和验证相关的信息和错误
  • /var/log/maillog - 与邮件服务器相关的信息和错误
  • /var/log/cron - 与定期执行的任务相关的日志文件
  • /var/log/boot.log - 与系统启动相关的日志文件

10.3. 使用 Web 控制台检查日志文件

按照以下步骤,使用 RHEL web 控制台检查日志文件。

流程

  1. 登录到 RHEL web 控制台。详情请参阅 Web 控制台的日志记录
  2. Logs

图 10.1. 在 RHEL 9 web 控制台中检查日志文件

查看日志

10.4. 使用命令行查看日志

Journal 是 systemd 的一个组件,可帮助查看和管理日志文件。它解决了与传统日志记录连接的问题,与系统的其余部分紧密集成,并支持各种日志技术和日志文件访问管理。

您可以通过命令行,使用 journalctl 命令查看系统日志中的信息,例如:

$ journalctl -b | grep kvm
May 15 11:31:41 localhost.localdomain kernel: kvm-clock: Using msrs 4b564d01 and 4b564d00
May 15 11:31:41 localhost.localdomain kernel: kvm-clock: cpu 0, msr 76401001, primary cpu clock
...

表 10.1. 查看系统信息

命令描述

journalctl

显示所有收集的日志条目。

journalctl FILEPATH

显示与特定文件相关的日志。例如: journalctl /dev/sda 命令显示与 /dev/sda 文件系统相关的日志。

journalctl -b

显示当前引导的日志。

journalctl -k -b -1

显示当前引导的内核日志。

表 10.2. 查看特定服务的信息

命令描述

journalctl -b _SYSTEMD_UNIT=foo

过滤日志以查看与 "foo" systemd 服务匹配的日志。

journalctl -b _SYSTEMD_UNIT=foo _PID=number

合并匹配。例如: 这个命令显示与 foo 和 PID number 匹配的 systemd-units 的日志。

journalctl -b _SYSTEMD_UNIT=foo _PID=number + _SYSTEMD_UNIT=foo1

分隔符"+"组合了逻辑 OR 中的两个表达式。例如,该命令显示来自 foo 服务进程中带有 PID 的服务进程的信息,以及来自 foo1 服务的所有消息(来自其任一进程)。

journalctl -b _SYSTEMD_UNIT=foo _SYSTEMD_UNIT=foo1

此命令显示与任一表达式匹配的所有条目,引用同一字段。在这里,这个命令会显示与 systemd-unit foo 或 systemd-unit foo1 匹配的日志。

表 10.3. 查看与特定引导相关的日志

命令描述

journalctl --list-boots

显示引导号、ID 以及与启动有关的第一个和最后一条消息的时间戳的表格列表。您可以使用下一个命令中的 ID 来查看详细信息。

journalctl --boot=ID _SYSTEMD_UNIT=foo

显示有关指定引导 ID 的信息。

10.5. 其他资源

第 11 章 获得红帽支持

本节介绍了如何使用红帽支持有效解决问题以及 sosreport

要获得红帽支持,请使用 红帽客户门户网站,它提供对您订阅所有可用资源的访问。

11.1. 通过红帽客户门户网站获得红帽支持

下面的部分论述了如何使用红帽客户门户网站获得帮助。

先决条件

  • 红帽客户门户网站中的有效用户帐户。请参阅 创建红帽登录帐号
  • RHEL 系统的有效订阅。

流程

  1. 访问 红帽支持:

    1. 创建新的支持问题单。
    2. 与红帽支持专家启动实时聊天。
    3. 通过致电或发送电子邮件与红帽专家联系。

11.2. 使用 sosreport 进行故障排除

sosreport 命令从 Red Hat Enterprise Linux 系统收集配置详情、系统信息和诊断信息。

以下小节论述了如何使用 sosreport 命令为您的支持问题单生成报告。

先决条件

  • 红帽客户门户网站中的有效用户帐户。请参阅 创建红帽登录帐号
  • RHEL 系统的有效订阅。
  • 支持问题单号。

流程

  1. 安装 sos 软件包:

    # dnf install sos
    注意

    Red Hat Enterprise Linux 的默认最小安装不包括 sos 软件包,该软件包提供了 sosreport 命令。

  2. 生成一个报告:

    # sosreport
  3. 将报告附加到您的支持问题单中。

    请参阅 如何将文件附加到红帽支持问题单?更多信息请参阅红帽知识库文章。

    请注意,在附加报告时会提示您输入相关问题单的号码。

第 12 章 systemd 简介

systemd 是 Linux 操作系统的系统和服务管理器。它被设计为与 SysV 初始化脚本向后兼容,并提供一些功能,如在引导时并行启动系统服务、按需激活守护进程或基于依赖项的服务控制逻辑。从 Red Hat Enterprise Linux 7 开始,systemd 替换了 Upstart 作为默认 init 系统。

systemd 引入了 systemd 单元的概念。这些单元由位于下表中列出的目录之一的单元配置文件来表示:

表 12.1. systemd 单元文件位置

目录描述

/usr/lib/systemd/system/

安装的 RPM 软件包的 systemd 单元文件。

/run/systemd/system/

在运行时创建 systemd 单元文件。该目录优先于安装了的服务单元文件的目录。

/etc/systemd/system/

systemd 单元文件由 systemctl enable 命令创建,并添加用于扩展服务的单元文件。这个目录优先于带有运行时单元文件的目录。

单元封装了以下相关信息:

  • 系统服务
  • 侦听套接字
  • 与 init 系统相关的其他对象

systemd 的默认配置是在编译过程中定义的,它可在 /etc/systemd/system.conf 的 systemd 配置文件中找到。如果您想与那些默认值分离,并全局覆盖所选的 systemd 单元默认值,请使用这个文件。

例如:要覆盖超时限制的默认值(设置为 90 秒),请使用 DefaultTimeoutStartSec 参数输入所需的值,以秒为单位。

DefaultTimeoutStartSec=pass:_required value_

12.1. systemd 单元类型

有关可用 systemd 单元类型的完整列表,请查看下表:

表 12.2. 可用的 systemd 单元类型

单位类型文件扩展描述

服务单元

.service

系统服务。

目标单元

.target

一组 systemd 单元。

Automount 单元

.automount

文件系统自动挂载点。

设备单元

.device

内核可识别的设备文件。

挂载单位

.mount

文件系统挂载点。

路径单元

.path

文件系统中的一个文件或者目录。

Scope 单元

.scope

外部创建的进程。

Slice 单元

.slice

一组管理系统进程的分层组织单元。

套接字单元

.socket

进程间的通信套接字。

Swap 单元

.swap

一个交换设备或者一个交换文件。

计时器单元

.timer

systemd 计时器。

12.2. systemd 主要特性

systemd 系统和服务管理器提供以下主要功能:

  • 基于套接字的激活 - 在系统引导时,systemd 为支持此类激活的所有系统服务创建侦听套接字,并在服务启动后立即将套接字传递给这些服务。这不仅允许 systemd 并行启动服务,还可以在它不可用时重启这个服务,而不会丢失发送到该服务的任何消息:对应的套接字可以访问,所有消息都已排队。

    systemd 使用 套接字单元 进行基于套接字的激活。

  • 基于总线的激活 - 将 D-Bus 用于进程间通信的系统服务可以在客户端应用程序尝试与它们通信时按需启动。systemdD-Bus 服务文件 用于基于总线的激活。
  • 基于设备的激活 -- 对于支持基于设备激活的系统服务,当一个特定硬件被插入时,或设备变为不可用时,可以根据需要重启服务。systemd 使用设备单元实现基于设备的激活。
  • 基于路径的激活 — 当特定文件或目录的状态发生变化时,支持基于路径的激活的系统服务可按需启动它的状态。systemd 使用路径单元实现基于路径的激活。
  • 挂载和自动挂载点管理 - systemd 监控并管理挂载和自动挂载点。systemd 使用 挂载单元 作为挂载点,automount 单元 用于自动挂载点。
  • 积极并行化 - 由于使用基于套接字的激活,systemd 可以在所有侦听的套接字都就绪时并行启动系统服务。和支持按需激活的系统服务相结合,并行激活可大大减少引导系统所需的时间。
  • 事务单元激活逻辑 - 在激活或停用单元之前,systemd 计算其依赖项,创建临时事务,并验证这个事务是否一致。如果一个事务出现不一致的情况,systemd 会自动尝试更正它并从其中删除非必要作业,然后再报告错误。
  • 与 SysV init 的后向兼容性 - systemd 支持 SysV init 脚本,如 Linux Standard Base Core 规格 中所述,这简化了 systemd 服务单元的升级路径。

12.3. 兼容性更改

systemd 系统和服务管理器的主要设计思想是与 SysV init 和 Upstart 兼容。以下是与使用 SysV init 的 Red Hat Enterprise Linux 6 系统相关的最显著兼容性更改:

  • systemd 只对运行级别(runlevel)提供有限支持。它还提供了很多目标单元,可以直接映射到这些运行级别,并且出于兼容性的原因,它也随早期的 运行级别 命令发布。但是,并非所有 systemd 目标都可直接映射到运行级别,因此此命令可能会返回 N 以指示未知运行级别。建议您尽可能避免使用 runlevel 命令。
    有关 systemd 目标及其与运行级别比较的更多信息,请参阅使用 systemd 目标
  • systemctl 程序不支持自定义命令。除了 start, stopstatus 等标准命令外,SysV init 脚本的作者还可以对任意数量的任意命令实施支持,以提供附加功能。例如,iptables 的 init 脚本可以使用 panic 命令来执行,该命令可立即启用 panic 模式并重新配置系统以开始丢弃所有传入和传出数据包。systemd 不支持它,systemctl 只接受记录的命令。
  • systemctl 实用程序与没有由 systemd 启动的服务通信。当 systemd 启动系统服务时,它会保存其主进程的 ID 以跟踪它。然后,systemctl 程序使用这个 PID 来查询和管理该服务。因此,如果用户直接在命令行启动某个特定的守护进程, systemctl 就无法决定其当前状态或停止它。
  • systemd 只会停止运行的服务。之前,当启动关闭序列时,Red Hat Enterprise Linux 6 以及之前的发行本都使用位于 /etc/rc0.d/ 目录中的符号链接停止所有可用的系统服务,而不考虑它们的状态。使用 systemd 时,只有运行的服务才会在关闭时停止。
  • 系统服务无法从标准输入流读取。当 systemd 启动一个服务时,它会将其标准输入连接到 /dev/null,以防止与用户的任何交互。
  • 系统服务不会从调用用户及其会话继承任何上下文(如 HOMEPATH 环境变量)。每个服务都在干净的执行上下文中运行。
  • 加载 SysV init 脚本时,systemd 会读取在 Linux Standard Base(LSB)标头中编码的依赖关系信息,并在运行时对其进行解释。
  • 服务单元中的所有操作都会被默认超时时间 5 分钟,以防止出现故障的服务释放系统。这个值在从 initscripts 生成的且无法更改的服务中是被硬编码的。但是,可以使用单个配置文件为每个服务指定一个较长的超时值,请参阅更改超时限制

第 13 章 使用 systemctl 管理系统服务

systemctl 实用程序帮助管理系统服务。您可以使用 systemctl 实用程序执行与不同服务相关的不同任务,如启动、停止、重启、启用和禁用服务、列出服务以及显示系统服务状态。

这部分论述了如何使用 systemctl 工具管理系统服务。

13.1. 使用 systemctl 管理服务单元

服务单元可以帮助控制系统中的服务和守护进程的状态。

服务单元以 .service 文件扩展结尾,如 nfs-server.service。但是,在命令中使用服务文件名时,您可以省略文件扩展名。systemctl 实用程序假设该参数是一个服务单元。例如,要停止 nfs-server.service,请输入以下命令:

# systemctl stop nfs-server

此外,一些服务单元也会有别名名称。别名可以短于实际的单位,您可以使用它们而不是使用实际单元名称。

要查找可用于特定单元的所有别名,请使用:

# systemctl show nfs-server.service -p Names

13.2. 服务工具与 systemctl 的比较

本节显示服务实用程序和使用 systemctl 命令的比较。

表 13.1. service 工具程序和 systemctl 的比较

servicesystemctl描述

service <name> start

systemctl start <name>.service

启动一个服务。

service <name> stop

systemctl stop <name>.service

停止服务。

service <name> restart

systemctl restart <name>.service

重启服务。

service <name> condrestart

systemctl try-restart <name>.service

仅在运行时重启服务。

service <name> reload

systemctl reload <name>.service

重新加载配置。

service <name> status

systemctl status <name>.service

systemctl is-active <name>.service

检查服务是否在运行。

service --status-all

systemctl list-units --type service --all

显示所有服务的状态。

13.3. 列出系统服务

您可以列出所有当前载入的服务单元以及所有可用服务单元的状态。

流程

  • 要列出所有当前载入的服务单元,请输入:

    $ systemctl list-units --type service
    UNIT                     LOAD   ACTIVE SUB     DESCRIPTION
    abrt-ccpp.service        loaded active exited  Install ABRT coredump hook
    abrt-oops.service        loaded active running ABRT kernel log watcher
    abrtd.service            loaded active running ABRT Automated Bug Reporting Tool
    ----
    systemd-vconsole-setup.service loaded active exited  Setup Virtual Console
    tog-pegasus.service            loaded active running OpenPegasus CIM Server
    
    LOAD   = Reflects whether the unit definition was properly loaded.
    ACTIVE = The high-level unit activation state, i.e. generalization of SUB.
    SUB    = The low-level unit activation state, values depend on unit type.
    
    46 loaded units listed. Pass --all to see loaded but inactive units, too.
    To show all installed unit files use 'systemctl list-unit-files'

    默认情况下,systemctl list-units 命令只显示活跃的单位。对于每个服务单元文件,命令会显示:

    • UNIT :其全名
    • LOAD :是否载入了单元文件的信息
    • ACTIVE\ SUB :其高级别和低级单元文件激活状态
    • DESCRIPTION: 一个较短的描述信息
  • 要列出所有载入的单元,而不考虑其状态,使用 --all-a 命令行选项输入以下命令:

    $ systemctl list-units --type service --all
  • 要列出所有可用服务单元的状态(启用/禁用),请输入:

    $ systemctl list-unit-files --type service
    UNIT FILE                               STATE
    abrt-ccpp.service                       enabled
    abrt-oops.service                       enabled
    abrtd.service                           enabled
    ...
    wpa_supplicant.service                  disabled
    ypbind.service                          disabled
    
    208 unit files listed.

    对于每个服务单元,这个命令会显示:

    • UNIT FILE :其全名
    • STATE :是否启用或禁用服务单元

13.4. 显示系统服务状态

您可以检查任何服务单元以获取其详细信息,并验证该服务是否启用或正在运行。您还可以查看在特定服务单元后或之前排序启动的服务。

流程

  • 要显示与系统服务对应的服务单元的详细信息,请输入:

    $ systemctl status <name>.service

    使用您要检查的服务单元的名称(例如:gdm)替换 <name>

    这个命令显示所选服务单元的名称,后接其简短描述、可用服务单元信息 中描述的一个或多个字段(如果由 root 用户执行,以及最新的日志条目)。

    表 13.2. 可用的服务单元信息

    描述

    Loaded

    是否载入了服务单元、到这个单元文件的绝对路径,以及是否启用该单位的信息。

    Active

    服务单元是否在运行的信息,后面有一个时间戳。

    Main PID

    对应系统服务的 PID 及其名称。

    Status

    相关系统服务的额外信息。

    Process

    有关相关进程的附加信息。

    CGroup

    有关相关控制组群(cgroups)的附加信息。

    例 13.1. 显示服务状态

    GNOME 显示管理器的服务单元名为 gdm.service。要确定这个服务单元的当前状态,在 shell 提示下键入以下内容:

    # systemctl status gdm.service
    gdm.service - GNOME Display Manager
       Loaded: loaded (/usr/lib/systemd/system/gdm.service; enabled)
       Active: active (running) since Thu 2013-10-17 17:31:23 CEST; 5min ago
     Main PID: 1029 (gdm)
       CGroup: /system.slice/gdm.service
               ├─1029 /usr/sbin/gdm
               ├─1037 /usr/libexec/gdm-simple-slave --display-id /org/gno...
               └─1047 /usr/bin/Xorg :0 -background none -verbose -auth /r...
    
    Oct 17 17:31:23 localhost systemd[1]: Started GNOME Display Manager.
  • 要只验证特定服务单元是否正在运行,请输入:

    $ systemctl is-active <name>.service
  • 要确定某个服务单元是否已启用,请输入:

    $ systemctl is-enabled <name>.service
    注意

    如果指定的服务单元正在运行或已启用,则 systemctl is-activesystemctl is-enabled 的返回退出状态为 0

  • 要确定在指定服务单元前排序哪些服务启动,请输入:

    # systemctl list-dependencies --after <name>.service

    <name> 替换为命令中服务的名称。例如,要查看在 gdm 前启动的服务列表,请输入:

    # systemctl list-dependencies --after gdm.service
    gdm.service
    ├─dbus.socket
    ├─getty@tty1.service
    ├─livesys.service
    ├─plymouth-quit.service
    ├─system.slice
    ├─systemd-journald.socket
    ├─systemd-user-sessions.service
    └─basic.target
    [output truncated]
  • 要确定在指定服务单元后排序哪些服务启动,请输入:

    # systemctl list-dependencies --before <name>.service

    <name> 替换为命令中服务的名称。例如,要查看在 gdm 后启动的服务列表,请输入:

    # systemctl list-dependencies --before gdm.service
    gdm.service
    ├─dracut-shutdown.service
    ├─graphical.target
    │ ├─systemd-readahead-done.service
    │ ├─systemd-readahead-done.timer
    │ └─systemd-update-utmp-runlevel.service
    └─shutdown.target
      ├─systemd-reboot.service
      └─final.target
        └─systemd-reboot.service

其他资源

13.5. 正和负的服务依赖项

systemd 中,不同服务间会存在正或负的依赖关系。启动特定的服务可能需要启动一个或多个其他服务(正依赖项)或停止一个或多个服务(负依赖项)。

当您试图启动新服务时,systemd 会自动解析所有依赖项,而不会向用户明确通知。这意味着,如果您已在运行某个服务,并尝试使用负依赖项启动另一个服务,则第一个服务会自动停止。

例如,如果您正在运行 postfix 服务,并且您试图启动 sendmail 服务,systemd 首先自动停止 postfix,因为这两个服务会冲突且无法在同一端口上运行。

其他资源

13.6. 启动系统服务

您可以使用 start 命令在当前会话中启动系统服务。您必须有一个 root 访问权限,因为启动服务可能会影响到操作系统的状态。

流程

  • 要启动与系统服务对应的所选服务单元,以 root 身份运行以下命令:

    # systemctl start <name>.service

    <name> 替换为您要启动的服务单元的名称(例如 httpd.service)。

    例 13.2. 启动 httpd.service

    Apache HTTP 服务器的服务单元名为 httpd.service。要激活这个服务单元并在当前会话中启动 httpd 守护进程,以 root 用户身份运行以下命令:

    # systemctl start httpd.service

13.7. 停止系统服务

您可以使用 stop 命令停止当前会话中的系统服务。您必须有一个 root 访问权限,因为停止服务可能会影响到操作系统的状态。

流程

  • 要停止与一个系统服务对应的服务单元,以 root 用户身份输入以下命令:

    # systemctl stop <name>.service

    使用您要停止的服务单元的名称替换 <name>(例如: bluetooth)。

    例 13.3. 停止 bluetoothd.service

    bluetoothd 守护进程的服务单元名为 bluetooth.service。要取消激活这个服务单元并在当前会话中停止 bluetoothd 守护进程,以 root 用户身份运行以下命令:

    # systemctl stop bluetooth.service

13.8. 重启系统服务

您可以使用 restart 命令在当前会话中重启系统服务。您必须有一个 root 访问权限,因为重启服务可能会影响操作系统的状态。

这个步骤描述了如何:

  • 在当前会话中停止所选服务单元,并立即重新启动它
  • 仅在对应服务已在运行时重启服务单元
  • 重新加载系统服务配置而不中断其执行

流程

  • 要重启与一个系统服务对应的服务单元,以 root 用户身份输入以下命令:

    # systemctl restart <name>.service

    使用您要重启的服务单元的名称替换 <name>(例如 httpd)。

    注意

    如果所选服务单元没有运行,这个命令也会启动它。

    • 或者,只有在相应服务已在运行时才重启服务单元,以 root 用户身份输入以下命令:

      # systemctl try-restart <name>.service
    • 要在不中断服务执行的情况下重新载入配置,以 root 身份输入以下命令:

      # systemctl reload <name>.service
      注意

      不支持这个功能的系统服务忽略这个命令。要重启这些服务,请使用 reload-or-restartreload-or-try-restart 命令。

    例 13.4. 重新加载 httpd.service

    为了防止用户遇到不必要的错误信息或部分呈现的网页,Apache HTTP 服务器允许您编辑和重新加载其配置,而无需重新启动和中断主动处理请求。要做到这一点,以 root 身份输入以下命令:

    # systemctl reload httpd.service

13.9. 启用系统服务

您可以将服务配置为在系统引导时自动启动。enable 命令读取所选服务单元的 [Install] 部分,并在 /etc/systemd/system/ 目录及其子目录中创建到 /usr/lib/systemd/system/name.service 文件的符号链接。但是,它不会重写已存在的链接。

流程

  • 要将一个与系统服务对应的服务单元配置为在引导时自动启动,以 root 身份输入以下命令:

    # systemctl enable <name>.service

    使用您要启用的服务单元的名称替换 <name>(例如 httpd)。

    • 如果要确保重新创建符号链接,以 root 用户身份使用以下命令:

      # systemctl reenable <name>.service

      该命令禁用所选服务单元,并立即再次启用。

      例 13.5. 启用 httpd.service

      要将 Apache HTTP 服务器配置为在引导时自动启动,以 root 用户身份运行以下命令:

      # systemctl enable httpd.service
      Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

13.10. 禁用系统服务

您可以防止服务单元在引导时自动启动。disable 命令读取所选服务单元的 [Install] 部分,并从 /etc/systemd/system/ 目录及其子目录中删除到 /usr/lib/systemd/system/name.service 文件的符号链接。

流程

  • 要将一个与系统服务对应的服务单元配置为在引导时不自动启动,以 root 身份输入以下命令:

    # systemctl disable <name>.service

    使用您要禁用的服务单元的名称替换 <name>(例如: bluetooth)。

    例 13.6. 禁用 bluetoothd.service

    bluetoothd 守护进程的服务单元名为 bluetooth.service。要防止这个服务单元在引导时启动,以 root 用户身份输入以下命令:

    # systemctl disable bluetooth.service
    Removed symlink /etc/systemd/system/bluetooth.target.wants/bluetooth.service.
    Removed symlink /etc/systemd/system/dbus-org.bluez.service.
    • 要屏蔽所有服务单元并阻止手动启动或者由其他服务启动,以 root 用户身份运行以下命令:

      # systemctl mask <name>.service

      这个命令将 /etc/systemd/system/name.service 文件替换为指向 /dev/null 的符号链接,呈现实际单元文件并可供 systemd 访问。

    • 要恢复这个操作并取消掩码一个服务单元,请输入:

      # systemctl unmask <name>.service

第 14 章 使用 systemd 目标

systemd 目标由目标单元表示。目标单元文件以 .target 文件扩展结尾,其唯一用途是通过一组依赖项将其他 systemd 单元分组到一起。例如,graphical.target 单元 用于启动图形会话,启动系统服务,如 GNOME 显示管理器 (gdm.service) 或 Accounts Service (accounts-daemon.service),并激活 multi-user.target 单元。同样,multi-user.target 单元启动其他基本系统服务,如 NetworkManager (NetworkManager.service) 或 D-Bus (dbus.service),并激活另一个名为 basic.target 的目标单元。

本节包含使用 systemd 目标时实施的步骤。

14.1. SysV 运行级别和 systemd 目标之间的区别

之前的 Red Hat Enterprise Linux 版本使用 SysV init 或 Upstart 发布,并实施了一组代表特定操作模式的预定义运行级别。这些运行级别从 0 到 6,由系统管理员启用特定运行级别时要运行的系统服务选择定义。从 Red Hat Enterprise Linux 7 开始,运行级别的概念已被 systemd 目标替代。

Red Hat Enterprise Linux 7 带有很多预定义目标,它们比之前的版本中的运行级别标准集合类似。出于兼容性的原因,它还为这些目标提供别名,直接映射到 SysV 运行级别。

下表提供了 SysV 运行级别的完整列表及其对应的 systemd 目标:

表 14.1. SysV 运行级别与 systemd 目标的比较

运行级别目标单元描述

0

runlevel0.target, poweroff.target

关闭系统。

1

runlevel1.target, rescue.target

设置救援 shell。

2

runlevel2.target, multi-user.target

设置一个非图形化的多用户系统。

3

runlevel3.target, multi-user.target

设置一个非图形化的多用户系统。

4

runlevel4.target, multi-user.target

设置一个非图形化的多用户系统。

5

runlevel5.target, graphical.target

设置图形化多用户系统。

6

runlevel6.target, reboot.target

关闭并重启系统。

下表将 SysV init 命令与 systemctl 进行比较。使用 systemctl 实用程序查看、更改或配置 systemd 目标:

重要

运行级别telinit 命令仍可在系统中使用,并可按预期工作,但只出于兼容性原因被包括在内,因此应该尽量避免使用。

表 14.2. SysV init 命令与 systemctl 的比较

旧命令新命令描述

runlevel

systemctl list-units --type target

列出当前载入的目标单元。

telinit runlevel

systemctl isolate name.target

更改当前目标。

其他资源

  • man sysv init
  • man upstart init
  • man systemctl

14.2. 查看默认对象

默认目标单元由 /etc/systemd/system/default.target 文件代表。

流程

  • 要确定默认使用哪个目标单元:

    $ systemctl get-default
    graphical.target
  • 使用符号链接决定默认对象:

    $  ls -l /usr/lib/systemd/system/default.target

    = 查看目标单元

默认情况下,systemctl list-units 命令只显示活跃的单位。

流程

  • 列出所有载入的单元,而不考虑它们的状态:

    $ systemctl list-units --type target --all
  • 要列出所有当前载入的目标单元:

    $ systemctl list-units --type target
    
    UNIT                  LOAD   ACTIVE SUB    DESCRIPTION
    basic.target          loaded active active Basic System
    cryptsetup.target     loaded active active Encrypted Volumes
    getty.target          loaded active active Login Prompts
    graphical.target      loaded active active Graphical Interface
    local-fs-pre.target   loaded active active Local File Systems (Pre)
    local-fs.target       loaded active active Local File Systems
    multi-user.target     loaded active active Multi-User System
    network.target        loaded active active Network
    paths.target          loaded active active Paths
    remote-fs.target      loaded active active Remote File Systems
    sockets.target        loaded active active Sockets
    sound.target          loaded active active Sound Card
    spice-vdagentd.target loaded active active Agent daemon for Spice guests
    swap.target           loaded active active Swap
    sysinit.target        loaded active active System Initialization
    time-sync.target      loaded active active System Time Synchronized
    timers.target         loaded active active Timers
    
    LOAD   = Reflects whether the unit definition was properly loaded.
    ACTIVE = The high-level unit activation state, i.e. generalization of SUB.
    SUB    = The low-level unit activation state, values depend on unit type.
    
    17 loaded units listed.

14.2.1. 更改默认对象

默认目标单元由 /etc/systemd/system/default.target 文件代表。以下流程描述了如何使用 systemctl 命令更改默认目标:

流程

  1. 要确定默认目标单元:

    # systemctl get-default
  2. 将系统配置为默认使用不同的目标单元:

    # systemctl set-default multi-user.target
    rm /etc/systemd/system/default.target
    ln -s /usr/lib/systemd/system/multi-user.target /etc/systemd/system/default.target

    这个命令将 /etc/systemd/system/default.target 文件替换为到 /usr/lib/systemd/system/name.target 的符号链接,其中 name 是您要使用的目标单元的名称。使用您要默认使用的目标单元的名称替换 multi-user

    表 14.3. set-default 命令的通用目标

    Basic

    涵盖基本引导的单元目标

    rescue

    拉取到基本系统的单元目标并生成救援 shell

    多用户

    设置多用户系统的单元目标

    图形化

    用于设置图形登录屏幕的单元目标

    emergency

    在主控制台中启动紧急 shell 的单元目标

    sysinit

    拉取系统初始化所需的服务的单元目标

  3. 重启

    # reboot

其他资源

  • 有关目标单元的详情请查看 systemd.special manpage
  • 引导 man page

第 15 章 关闭、挂起和休眠系统

本节介绍关闭、挂起或休眠您的操作系统。

15.1. 系统关闭

要关闭系统,您可以直接使用 systemctl 实用程序,或者通过 shutdown 命令调用这个实用程序。

使用 shutdown 命令的优点为:

  • 对时间参数的支持

    这对调度的维护特别有用。另外,用户还有更多时间来响应已经调度系统关闭的警告。

  • 取消关闭(shutdown)的选项

15.2. 使用 shutdown 命令关闭系统

在此过程中,您可以使用 shutdown 命令来执行各种操作。您可以关闭系统并在一定时间关闭机器,或者在不关闭机器的情况下关闭和停止系统,或者取消待处理的关闭。

先决条件

  • 切换到 root 用户

流程

  • 要关闭系统并在一定时间关闭机器,请使用以下格式:

    shutdown --poweroff hh:mm

    这里的 hh:mm 是 24 小时时钟格式的时间。/run/nologin 文件会在系统关闭前 5 分钟创建,以防止新的登录。

    当使用时间参数时,可以将可选的 wall message 附加到命令中。

    另外,要在延迟后关闭和停止系统,而无需关闭机器,请使用:

    shutdown --halt +m

    其中 +m 是延迟时间(以分钟为单位)。now 等同于 +0

    要取消待处理的关闭,请使用:

    shutdown -c

其他资源

15.3. 使用 systemctl 命令关闭系统

按照以下步骤,您可以使用 systemctl 命令执行各种操作。您可以关闭系统并关闭机器,或者在不关闭机器的情况下关闭和停止系统。

先决条件

  • 切换到 root 用户

流程

  • 要关闭系统并关闭机器,请使用以下格式:

    systemctl poweroff

    另外,要在不关闭机器的情况下关闭和停止系统,请使用:

    systemctl halt
注意

默认情况下,运行其中任一个这些命令可使 systemd 向所有当前登录到该系统的用户发送信息。要防止 systemd 发送这个消息,请使用 --no-wall 命令行选项运行所选命令。

15.4. 重启系统

您可以按照以下步骤重启系统。

先决条件

  • 切换到 root 用户

流程

  • 要重启系统,请运行以下命令:

    systemctl reboot
注意

默认情况下,这个命令可使 systemd 向所有当前登录到该系统的用户发送信息信息。要防止 systemd 发送这个消息,请使用 --no-wall 命令行选项运行这个命令。

15.5. 挂起系统

您可以按照以下步骤挂起该系统。

先决条件

  • 切换到 root 用户。

流程

  • 要挂起该系统,请运行以下命令:

    systemctl suspend

    该命令在 RAM 中保存系统状态,除了 RAM 模块外,关闭机器中的大多数设备。当您重新打开机器时,系统会从内存中恢复其状态,而无需再次引导。

    因为系统状态保存在 RAM 中,而不是在硬盘中,从暂停模式恢复系统比从休眠状态快得多。但请注意,暂停的系统状态也容易受到电源中断的影响。

其他资源

15.6. 休眠系统

按照以下步骤,您可以休眠系统,也可以休眠并暂停系统。

先决条件

  • 切换到 root 用户。

流程

  • 要休眠系统,请运行以下命令:

    systemctl hibernate

    该命令在硬盘驱动器中保存系统状态,并断开机器电源。当您重新打开机器时,系统会从保存的数据中恢复其状态,而无需再次引导。

    由于系统状态保存在硬盘上而不是 RAM 中,因此计算机不必维护 RAM 模块的电力功能。但是,从休眠中恢复系统的速度比从暂停模式恢复要慢。

    或者,要休眠并挂起系统,请运行以下命令:

    systemctl hybrid-sleep

其他资源

15.7. 使用 systemctl 的电源管理命令概述

您可以使用以下 systemctl 命令列表来控制系统的电源管理。

表 15.1. systemctl 电源管理命令概述

systemctl 命令描述

systemctl halt

关闭系统。

systemctl poweroff

关闭系统。

systemctl reboot

重启该系统。

systemctl suspend

挂起系统。

systemctl hibernate

休眠系统。

systemctl hybrid-sleep

休眠并挂起系统。

第 16 章 使用 systemd 单元文件

本章包含 systemd 单元文件的描述。以下部分介绍了如何进行:

  • 创建自定义单元文件
  • 将 SysV init 脚本转换为单元文件
  • 修改现有单元文件
  • 使用实例化单元

16.1. 单元文件简介

单元文件包含描述这个单元并定义其行为的配置指令。几个 systemctl 命令可在后台使用单元文件。要进行更细的调整,系统管理员必须手动编辑或创建单元文件。systemd 单元文件位置 列出了系统上存储单元文件的三个主目录,/etc/systemd/system/ 目录为系统管理员创建或自定义的单元文件保留。

单元文件名的格式如下:

unit_name.type_extension

在这里,unit_name 代表单元的名称,而 type_extension 标识单元类型。有关单元类型的完整列表,请参阅 systemd 单元文件

例如,系统通常会有 sshd.servicesshd.socket 单元。

可通过一个目录来补充单元文件,以了解额外的配置文件。例如,要将自定义配置选项添加到 sshd.service 中,请创建 sshd.service.d/custom.conf 文件并在其中插入其他指令。有关配置目录的更多信息,请参阅 修改现有单元文件

另外, sshd.service.wants/sshd.service.requires/ 目录可以被创建。这些目录包含到 sshd 服务依赖的单元文件的符号链接。符号链接会根据 [Install] 单元文件选项或在运行时根据 [Unit] 选项自动创建。也可以手动创建这些目录和符号链接。有关 [Install] 和 [Unit] 选项的详情请参考下表。

许多单元文件可以通过 unit specifiers 设置 - 在单元文件被加载时,其中的通配符字符串会动态地被单元参数替换。这可让创建作为生成实例化单元的模板的通用单元文件。请参阅使用实例化单元

16.2. 单元文件结构

单元文件通常由三个部分组成:

  • [Unit] 部分 - 包含不依赖于该单元类型的通用选项。这些选项提供单元描述,指定单元的行为,并将依赖项设置为其他单元。有关最常用 [Unit] 选项的列表,请参阅 重要 [Unit] 部分选项
  • [Unit type] 部分 - 如果单元带有特定于类型的指令,则这些指令会在根据单元类型命名的部分下进行分组。例如,服务单元文件包含 [Service] 部分。
  • [Install] 部分 - 包含 systemctl enabledisable 命令使用的单元安装的信息。有关 [Install] 部分的选项列表,请参阅 重要 [Install] 部分选项

16.3. 重要 [Unit] 部分选项

下表列出了 [Unit] 部分的重要选项。

表 16.1. 重要 [Unit] 部分选项

选项 [a]描述

描述

对这个单元的一个有意义的描述。这个文本显示在 systemctl status 命令的输出中。

Documentation

提供单元参考文档的 URI 列表。

After[b]

定义启动单位的顺序。这个单元仅在 After 中指定的单元处于活跃状态后才启动。与 Requires 不同,After 不会显式激活指定的单元。Before 选项与 After 的功能相反。

Requires

配置其它单元上的依赖关系。Requires 中列出的单元与单元一同被激活。如果任何需要的单元无法启动,则该单位就不会被激活。

Wants

配置比 Requires 更弱的依赖项。如果列出的单元没有成功启动,它对单元激活不会有影响。这是建立自定义单元依赖项的建议方法。

Conflicts

配置负的依赖关系,与 Requires 相反。

[a] 有关 [Unit] 部分中可配置选项列表,请查看 systemd.unit(5) 手册页。
[b] 在大多数情况下,只需要AfterBefore 单元文件选项设置顺序依赖关系就足够了。如果还使用 Wants(推荐)或 Requires设置了需要的依赖关系,仍需要指定依赖关系顺序。这是因为排序和要求依赖关系可以独立地工作。

16.4. 重要 [Service] 部分选项

下表列出了 [Service] 部分的重要选项。

表 16.2. 重要 [Service] 部分选项

选项 [a]描述

Type

配置影响 ExecStart 和相关选项功能的单元进程启动类型。其中之一:

* simple - 默认值。使用 ExecStart 启动的进程是该服务的主要进程。

* forking - 使用 ExecStart 启动的进程会生成成为该服务主要进程的子进程。父进程在启动完成后会退出。

* oneshot – 这个类型与 simple 类似,但在启动相应单位前会退出。

* dbus - 这个类型与 simple 类似,但仅在主进程获得 D-Bus 名称后启动。

* notify - 这个类型与 simple 类似,但只有在通过 sd_notify() 函数发送通知消息后才启动该单元。

* idle - 与 simple 相似,服务二进制文件的实际执行会延迟到所有作业完成后才进行,这样可避免其状态输出与服务的 shell 输出混合在一起。

ExecStart

指定在启动该单元时要执行的命令或脚本。ExecStartPreExecStartPost 指定在 ExecStartPtart 之前和之后要执行的自定义命令。Type=oneshot 启用指定可按顺序执行的多个自定义命令。

ExecStop

指定在该单元停止时要执行的命令或脚本。

ExecReload

指定重新载入该单元时要执行的命令或脚本。

Restart

启用此选项后,服务会在进程退出后重启,但使用 systemctl 命令进行的干净停止除外。

RemainAfterExit

如果设置为 True,则该服务即使在所有进程都已退出时也被视为活动。默认值为 False。这个选项在配置了 Type=oneshot 时特别有用。

[a] 有关 [Service] 部分中可配置选项列表,请查看 systemd.service(5) 手册页。

16.5. 重要 [Install] 部分选项

下表列出了 [Install] 部分的重要选项。

表 16.3. 重要 [Install] 部分选项

选项 [a]描述

Alias

为这个单元提供空格分开的额外名称列表。除 systemctl enable 以外,多数systemctl 命令可使用别名而不是实际的单元名称。

RequiredBy

依赖于这个单元的单元列表。当启用此单元时,在 RequiredBy 中列出的单元会获得对这个单元的一个 Require 依赖项。

WantedBy

依赖于这个单元的单位列表。当启用这个单元时,在 WantedBy 中列出的单元会得到一个 Want 依赖项。

Also

指定要随这个单元一起安装或卸载的单元列表。

DefaultInstance

仅限于实例化单元,这个选项指定启用单位的默认实例。请参阅使用实例化单元

[a] 有关 [Install] 部分可配置选项的完整列表,请查看 systemd.unit(5) 手册页。

16.6. 创建自定义单元文件

从头开始创建单元文件有多种用例:您可以运行自定义守护进程,创建某些现有服务的第二个实例 ,如使用 sshd 服务的第二个实例来创建自定义单元文件

另一方面,如果您只想修改或扩展现有单元的行为,请使用 修改现有单元文件 中的说明。

流程

以下流程描述了创建自定义服务的一般过程:

  1. 使用自定义服务准备可执行文件。这可以是自定义创建的脚本,也可以是软件供应商提供的可执行文件。如果需要,准备 PID 文件来保存自定义服务主要进程的恒定 PID。也可以包含环境文件来存储该服务的 shell 变量。确保源脚本可以执行(通过执行 chmod a+x)且不是交互式的。
  2. /etc/systemd/system/ 目录中创建一个单元文件,并确定它有正确的文件权限。以 root 用户身份执行:

    touch /etc/systemd/system/name.service
    
    chmod 664 /etc/systemd/system/name.service

    使用要创建的服务的名称替换 name。请注意,该文件不需要可执行。

  3. 打开上一步中创建的 name.service 文件并添加服务配置选项。根据您要创建的服务类型,您可以选择多种选项,请参见单元文件结构

    以下是网络相关服务的单元配置示例:

    [Unit]
    Description=service_description
    After=network.target
    
    [Service]
    ExecStart=path_to_executable
    Type=forking
    PIDFile=path_to_pidfile
    
    [Install]
    WantedBy=default.target

    其中:

    • service_description 是一个说明性描述,在 journal 日志文件和 systemctl status 命令的输出中显示。
    • After 设置可确保仅在网络运行时启动该服务。添加以空格分开的其它相关服务或目标列表。
    • path_to_executable 代表到实际可执行服务的路径。
    • type=forking 用于生成 fork 系统调用的守护进程。该服务的主要进程使用 path_to_pidfile 中指定的 PID 创建。在 重要 [Service] 部分选项查找其他启动类型。
    • WantedBy 指出该服务应该启动的目标。将这些目标视为运行级别旧概念的替代。
  4. root 用户身份执行以下命令来通知 systemd 已存在新的 name.service 文件:

    systemctl daemon-reload
    
    systemctl start name.service
    警告

    在创建新的单元文件或修改现有单元文件后,始终运行 systemctl daemon-reload 命令。否则,systemctl start 或者 systemctl enable 命令可能会因为 systemd 状态和磁盘中的实际服务单元文件不匹配而失败。请注意,对于有大量单元的系统来说,这需要很长时间,因为每个单元的状态必须在重新载入的过程中被序列化,然后再进行反序列化。

16.7. 使用 sshd 服务的第二个实例创建自定义单元文件

系统管理员通常需要配置并运行多个服务实例。这可以通过创建原始服务配置文件的副本并修改某些参数来避免与服务的主实例冲突。以下流程演示了如何创建 sshd 服务第二个实例。

流程

  1. 创建第二个守护进程将使用的 sshd_config 文件副本:

    # cp /etc/ssh/sshd{,-second}_config
  2. 编辑上一步中创建的 sshd-second_config 文件,为第二个守护进程分配不同的端口号和 PID 文件:

    Port 22220
    PidFile /var/run/sshd-second.pid

    有关 PortPidFile 选项的详情,请查看 sshd_config(5)手册页。请确定您选择的端口没有被其他服务使用。在运行该服务前,PID 文件不一定存在,它会在服务启动时自动生成。

  3. sshd 服务创建 systemd 单元文件副本:

    # cp /usr/lib/systemd/system/sshd.service /etc/systemd/system/sshd-second.service
  4. 按如下方式更改上一步中创建的 sshd-second.service:

    1. 修改 Description 选项:

      Description=OpenSSH server second instance daemon
    2. 将 sshd.service 添加到 After 选项中指定的服务,因此第二实例仅在第一个实例启动后启动:

      After=syslog.target network.target auditd.service sshd.service
    3. sshd 的第一个实例包括密钥生成,因此删除 ExecStartPre=/usr/sbin/sshd-keygen 行。
    4. sshd 命令添加 -f /etc/ssh/sshd-second_config 参数,以便使用其它配置文件:

      ExecStart=/usr/sbin/sshd -D -f /etc/ssh/sshd-second_config $OPTIONS
    5. 在进行以上修改后,sshd-second.service 应该如下所示:

      [Unit]
      Description=OpenSSH server second instance daemon
      After=syslog.target network.target auditd.service sshd.service
      
      [Service]
      EnvironmentFile=/etc/sysconfig/sshd
      ExecStart=/usr/sbin/sshd -D -f /etc/ssh/sshd-second_config $OPTIONS
      ExecReload=/bin/kill -HUP $MAINPID
      KillMode=process
      Restart=on-failure
      RestartSec=42s
      
      [Install]
      WantedBy=multi-user.target
  5. 如果使用 SELinux,请将 sshd 的第二个实例的端口添加到 SSH 端口,否则 sshd 的第二个实例将被拒绝绑定到端口:

    # semanage port -a -t ssh_port_t -p tcp 22220
  6. 启用 sshd-second.service,以便在引导时自动启动:

    # systemctl enable sshd-second.service
  7. 使用 systemctl status 命令验证 sshd-second.service 是否在运行。
  8. 通过连接到该服务来验证是否正确启用了端口:

    ssh -p 22220 user@server

    如果使用防火墙,请确定正确配置了防火墙以便允许到第二个 sshd 实例的连接。

16.8. 将 SysV init 脚本转换为单元文件

在将 SysV init 脚本转换为单元文件前,请确保在其它位置还没有进行相关的转换。Red Hat Enterprise Linux 中安装的所有核心服务都带有默认的单元文件,很多第三方软件包也是如此。

将初始化脚本转换成单元文件需要分析脚本并从中提取所需信息。基于这个数据,您可以创建一个单元文件。因为初始化脚本可以根据服务的类型有很大变化,您可能需要雇佣更多配置选项,而不是本章中所述。请注意,systemd 单元不再支持 init 脚本提供某种级别的定制。

转换所需要的大多数信息都会在脚本的标头中提供。以下示例显示了在 Red Hat Enterprise Linux 6 中启动 postfix 服务初始化脚本的打开部分:

#!/bin/bash
# postfix      Postfix Mail Transfer Agent
# chkconfig: 2345 80 30
# description: Postfix is a Mail Transport Agent, which is the program that moves mail from one machine to another.
# processname: master
# pidfile: /var/spool/postfix/pid/master.pid
# config: /etc/postfix/main.cf
# config: /etc/postfix/master.cf
### BEGIN INIT INFO
# Provides: postfix MTA
# Required-Start: $local_fs $network $remote_fs
# Required-Stop: $local_fs $network $remote_fs
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Short-Description: start and stop postfix
# Description: Postfix is a Mail Transport Agent, which is the program that moves mail from one machine to another.
### END INIT INFO

在上面的例子中,只有以 # chkconfig# description 开头的行是强制的,因此您可能不会在不同的 init 文件中找到其他行。BEGIN INIT INFO END INIT INFO 行之间连接的文本名为 Linux Standard Base (LSB) header。如果指定,LSB 标头包含定义服务描述、依赖项和默认运行级别的指令。下面是一个分析任务概述,旨在收集新单元文件所需的数据。postfix init 脚本用作示例。

16.9. 查找 systemd 服务描述

您可以在以 #description 开头的行中查找有关脚本的描述性信息。将此描述与单元文件 [Unit] 部分中的 Description 选项中的服务名称一起使用。LSB 标头可能在 #Short-Description#Description 行中包含类似的数据。

16.10. 查找 systemd 服务依赖项

LSB 标头可能包含一些在服务间组成相依性指令。大多数可以转换到 systemd 单元选项,请查看下表:

表 16.4. LSB 标头中的依赖项选项

LSB 选项描述单元文件的对等

Provides

指定服务的引导工具名称,可在其他初始化脚本中引用(使用 "$" 前缀)。因为单元文件根据文件名指向其他单元,所以不再需要这个操作。

Required-Start

包含所需服务的引导工具名称。这作为排序依赖关系转换,引导设备名称将被替换为它们所属的对应服务或目标的单元文件名称。例如,如果为 postfix,则 $network 的 Required-Start 依赖项转换为 network.target 上的 After 依赖项。

After, Before

Should-Start

比 Required-Start 更弱的依赖项。Should-Start 依赖项失败不会影响服务的启动。

After, Before

required-Stop, Should-Stop

组成负依赖关系。

Conflicts

16.11. 查找服务的默认目标

#chkconfig 开始的行包含三个数字值。最重要的是第一个代表启动该服务的默认运行级别的数字。将这些运行级别映射到等同的 systemd 目标。然后,在单元文件的 [Install] 部分中列出 WantedBy 选项中的这些目标。例如: postfix 之前在运行级别 2、3、4 和 5 中启动,它们转换为 multi-user.target 和 graphical.target。请注意,graphical.target 依赖于 multiuser.target,因此不需要同时指定它们。您可能会在 LSB 标头的 #Default-Start#Default-Stop 行中找到默认和禁用运行级别的信息。

#chkconfig 行里指定的其他两个值代表初始化脚本的启动和关闭优先级。如果 systemd 加载初始化脚本,则对这些值进行解释,但没有等价的单元文件。

16.12. 查找该服务使用的文件

初始化脚本需要从专用目录中载入功能库,并允许导入配置、环境和 PID 文件。环境变量是在初始化脚本标头中以 #config 开始的行指定的,它转换为 EnvironmentFile 单元文件选项。在 #pidfile init 脚本行中指定的 PID 文件使用 PIDFile 选项导入到单元文件中。

未包含在初始化脚本标头中的关键信息是该服务可执行文件的路径,以及该服务可能需要的一些其他文件。在以前的 Red Hat Enterprise Linux 版本中,init 脚本使用 Bash case 语句定义默认操作的服务行为,如 start, stop, 或 restart,以及自定义的操作。以下来自 postfix init 脚本的摘录显示了在服务启动时要执行的代码块。

conf_check() {
    [ -x /usr/sbin/postfix ] || exit 5
    [ -d /etc/postfix ] || exit 6
    [ -d /var/spool/postfix ] || exit 5
}

make_aliasesdb() {
	if [ "$(/usr/sbin/postconf -h alias_database)" == "hash:/etc/aliases" ]
	then
		# /etc/aliases.db might be used by other MTA, make sure nothing
		# has touched it since our last newaliases call
		[ /etc/aliases -nt /etc/aliases.db ] ||
			[ "$ALIASESDB_STAMP" -nt /etc/aliases.db ] ||
			[ "$ALIASESDB_STAMP" -ot /etc/aliases.db ] || return
		/usr/bin/newaliases
		touch -r /etc/aliases.db "$ALIASESDB_STAMP"
	else
		/usr/bin/newaliases
	fi
}

start() {
	[ "$EUID" != "0" ] && exit 4
	# Check that networking is up.
	[ ${NETWORKING} = "no" ] && exit 1
	conf_check
	# Start daemons.
	echo -n $"Starting postfix: "
	make_aliasesdb >/dev/null 2>&1
	[ -x $CHROOT_UPDATE ] && $CHROOT_UPDATE
	/usr/sbin/postfix start 2>/dev/null 1>&2 && success || failure $"$prog start"
	RETVAL=$?
	[ $RETVAL -eq 0 ] && touch $lockfile
        echo
	return $RETVAL
}

init 脚本的可扩展性允许指定从 start() 功能块中调用的两个自定义功能 conf_check()make_aliasesdb()。然后,上面的代码中提到几个外部文件和目录:主服务可执行文件 /usr/sbin/postfix/etc/postfix//var/spool/postfix/ 配置目录,以及 /usr/sbin/postconf/ 目录。

systemd 只支持预定义的操作,但启用执行带有 ExecStart, ExecStartPre, ExecStartPost, ExecStop, 和 ExecReload 选项的自定义可执行文件。在 service start 中执行 /usr/sbin/postfix 以及支持脚本。转换复杂的初始化脚本需要了解脚本中的每个语句的用途。一些语句特定于操作系统版本,因此您不需要转换它们。另一方面,新环境中可能需要进行一些调整,无论是单元文件以及服务可执行文件和支持文件。

16.13. 修改现有单元文件

在系统中安装的服务会附带保存在 /usr/lib/systemd/system/ 目录中的默认单元文件。系统管理员不应该直接修改这些文件,因此任何自定义都必须仅限于 /etc/systemd/system/ 目录中的配置文件。

流程

  1. 根据所需更改的程度,选择以下方法之一:

    • /etc/systemd/system/unit.d/ 中创建一个附加配置文件的目录。我们推荐在大多数用例中使用这个方法。它启用了额外的功能来扩展默认配置,同时仍然引用原始的单元文件。因此会自动应用在软件包升级中引入的默认单元更改。如需更多信息,请参阅扩展默认单元配置
    • /etc/systemd/system/ 中创建原始单元文件 /usr/lib/systemd/system/ 的副本并在此进行修改。这个副本会覆盖原始文件,因此不会应用软件包更新带来的更改。这个方法对无论软件包更新都应保留的重要单元更改都很有用。有关详细信息,请参阅覆盖默认单元配置
  2. 要返回这个单元的默认配置,请删除 /etc/systemd/system/ 中的自定义创建配置文件。
  3. 要在不重启系统的情况下对单元文件应用更改,请执行:

    systemctl daemon-reload

    daemon-reload 选项会重新载入所有单元文件并重新创建依赖项树,这是立即将任何更改应用到单元文件所必需的。另外,您可以使用以下命令得到同样的结果,该命令必须以 root 用户执行:

    init q
  4. 如果修改后的单元文件属于正在运行的服务,则必须重启该服务以接受新设置:

    systemctl restart name.service
重要

要修改由 SysV initscript 处理的服务(如依赖项或超时)的属性,请不要修改 initscript 本身。反之,为服务创建一个 systemd 置入配置文件,如下所述:扩展默认单元配置覆盖默认单元配置

然后,像普通 systemd 服务一样管理该服务。

例如:要扩展 network 服务的配置,不要修改 /etc/rc.d/init.d/network initscript 文件。反之,创建新目录 /etc/systemd/system/network.service.d/ 和一个 systemd drop-in 文件 /etc/systemd/system/network.service.d/my_config.conf。然后将修改的值放到 drop-in 文件中。注: systemd 知道 network 服务为 network.service,这就是为什么创建的目录必须名为 network.service.d

16.14. 扩展默认单元配置

这部分论述了如何使用附加配置选项扩展默认单元文件。

流程

  1. 要使用额外的配置选项扩展默认单元文件,首先在 /etc/systemd/system/ 中创建配置目录。如果扩展服务单元,以 root 用户身份执行以下命令:

    mkdir /etc/systemd/system/name.service.d/

    使用您要扩展的服务的名称替换 name。以上语法适用于所有单元类型。

  2. 在上一步中创建的目录中创建配置文件。请注意,文件名必须以 .conf 后缀结尾。类型:

    touch /etc/systemd/system/name.service.d/config_name.conf

    使用配置文件的名称替换 config_name。此文件遵循普通单元文件结构,因此所有指令都必须在适当的部分中指定,请参见单元文件结构

    例如,要添加自定义依赖项,请使用以下内容创建配置文件:

    [Unit]
    Requires=new_dependency
    After=new_dependency

    这里的 new_dependency 代表这个单元被标记为依赖项。另一个例子是主进程退出后重新启动服务的配置文件,延迟 30 秒:

    [Service]
    Restart=always
    RestartSec=30

    建议您只创建专注于一个任务的小配置文件。这些文件可轻松地移动或者链接到其他服务的配置目录。

  3. 要应用对单位所做的更改,以 root 用户身份执行:

    systemctl daemon-reload
    systemctl restart name.service

例 16.1. 扩展 httpd.service 配置

要修改 httpd.service 单元,以便在启动 Apache 服务时自动执行自定义 shell 脚本,请执行以下步骤。

  1. 创建目录和自定义配置文件:

    # mkdir /etc/systemd/system/httpd.service.d/
    # touch /etc/systemd/system/httpd.service.d/custom_script.conf
  2. 如果想要用 Apache 自动启动的脚本位于 /usr/local/bin/custom.sh,在 custom_script.conf 文件中插入以下文本:

    [Service]
    ExecStartPost=/usr/local/bin/custom.sh
  3. 要应用单元更改,请执行:

    # systemctl daemon-reload
    # systemctl restart httpd.service
注意

/etc/systemd/system/ 配置文件中的配置文件优先于 /usr/lib/systemd/system/ 中的单元文件。因此,如果配置文件包含只可以指定一次的选项,如 DescriptionExecStart,则此选项的默认值会被覆盖。请注意,在 systemd-delta 命令的输出中(在 Monitoring overrides units 中所述)中,比如这个单元总是被标记为 [EXTENDED],即使总和和一些选项也会被覆盖。

16.15. 覆盖默认单元配置

这部分论述了如何覆盖默认单元配置。

流程

  1. 要在更新提供该单元文件的软件包后保留更改,首先要将该文件复制到 /etc/systemd/system/ 目录。要做到这一点,以 root 用户身份执行以下命令:

    cp /usr/lib/systemd/system/name.service /etc/systemd/system/name.service

    其中 name 代表您希望修改的服务单元的名称。以上语法适用于所有单元类型。

  2. 使用文本编辑器打开复制的文件,并进行必要的修改。要应用单元更改,以 root 用户身份执行:

    systemctl daemon-reload
    systemctl restart name.service

16.16. 更改超时限制

您可以为每个服务指定一个超时值,以防止出现故障的服务中断。否则,一般服务的超时时间会被默认设置为 90 秒,SysV 兼容的服务会被设置为 300 秒。

例如:要为 httpd 服务扩展超时限制:

流程

  1. httpd 单元文件复制到 /etc/systemd/system/ 目录中:

    cp /usr/lib/systemd/system/httpd.service /etc/systemd/system/httpd.service
  2. 打开文件 /etc/systemd/system/httpd.service,并在 [Service] 部分指定 TimeoutStartUSec 值:

    …​
    [Service]
    …​
    PrivateTmp=true
    TimeoutStartSec=10
    
    [Install]
    WantedBy=multi-user.target
    …​
  3. 重新载入 systemd 守护进程:

    systemctl daemon-reload
  4. Optional.验证新的超时值:

    systemctl show httpd -p TimeoutStartUSec
    注意

    要全局更改超时限制,在/etc/systemd/system.conf 中输入 DefaultTimeoutStartSec

16.17. 监控覆盖的单元

这部分论述了如何显示覆盖或修改的单元文件概述。

流程

  • 要显示覆盖或修改的单元文件概述,请使用以下命令:

    systemd-delta

    例如,以上命令的输出结果如下:

    [EQUIVALENT] /etc/systemd/system/default.target → /usr/lib/systemd/system/default.target
    [OVERRIDDEN] /etc/systemd/system/autofs.service → /usr/lib/systemd/system/autofs.service
    
    --- /usr/lib/systemd/system/autofs.service      2014-10-16 21:30:39.000000000 -0400
    + /etc/systemd/system/autofs.service  2014-11-21 10:00:58.513568275 -0500
    @@ -8,7 +8,8 @@
     EnvironmentFile=-/etc/sysconfig/autofs
     ExecStart=/usr/sbin/automount $OPTIONS --pid-file /run/autofs.pid
     ExecReload=/usr/bin/kill -HUP $MAINPID
    -TimeoutSec=180
    +TimeoutSec=240
    +Restart=Always
    
     [Install]
     WantedBy=multi-user.target
    
    [MASKED]     /etc/systemd/system/cups.service → /usr/lib/systemd/system/cups.service
    [EXTENDED]   /usr/lib/systemd/system/sssd.service → /etc/systemd/system/sssd.service.d/journal.conf
    
    4 overridden configuration files found.

16.18. 使用实例化单元

可以在运行时使用单一模板配置文件实例化多个单元。"@"字符用于标记模板并与其关联。实例化的单元可以从另一个单元文件(使用 Requires 或者 Wants 选项)或者 systemctl start 命令启动。以下列方式命名实例化服务单元:

template_name@instance_name.service

其中 template_name 代表模板配置文件的名称。将 instance_name 替换为单元实例的名称。多个实例可以指向带有通用于单元所有实例的配置选项的同一个模板文件。模板单元名称具有以下格式:

unit_name@.service

例如,单位文件中的以下 Wants 设置:

Wants=getty@ttyA.service getty@ttyB.service

首先为给定服务单元进行 systemd 搜索。如果没有找到这样的单元,"@" 和类型后缀间的部分会被忽略,systemd 搜索 getty@.service 文件,从中读取配置并启动服务。

例如, getty@.service 模板包含以下指令:

[Unit]
Description=Getty on %I
…​
[Service]
ExecStart=-/sbin/agetty --noclear %I $TERM
…​

当从上述模板中实例化 getty@ttyA.service 和 getty@ttyB.service 时, Description= 会被解析为 Getty on ttyAGetty on ttyB

16.19. 重要单元指定符

可在任何单元配置文件中使用通配符字符(称为 单元指定符)。单元指定符替换了某些单元参数,并在运行时解释。下表列出了对模板单元特别有用的单元指定符。

表 16.5. 重要单元指定符

单元指定符含义描述

%n

完整单元名称

代表包括类型后缀在内的完整单元名称。%N 具有相同的意义,而且使用 ASCII 代码替换禁止的字符。

%p

前缀名称

代表已删除类型为 suffix 的单元名称。对于实例化单元 %p,表示"@"字符前的单元名称的一部分。

%i

实例名称

是"@"字符和类型后缀之间的实例化单元名称的一部分。%I 具有相同的意义,但也会取代 ASCII 代码禁止的字符。

%H

主机名

代表在载入单元配置时的运行系统的主机名。

%t

运行时目录

代表运行时目录,对于 root 用户是 /run,对于非特权用户是 XDG_RUNTIME_DIR 变量的值。

有关单元指定符的完整列表,请参见 systemd.unit(5) 手册页。

16.20. 其他资源

第 17 章 优化 systemd 以缩短引导时间

有一组默认启用的 systemd 单元文件列表。由这些单元文件定义的系统服务会在引导时自动运行,这会影响引导时间。

本节描述:

  • 检查系统引导性能的工具。
  • 默认启用 systemd 单元以及您可以安全禁用 systemd 单元以便缩短引导时间的情况。

17.1. 检查系统引导性能

要检查系统引导性能,您可以使用 systemd-analyze 命令。这个命令有很多可用选项。然而,本节只涵盖所选对 systemd 调整很重要以便缩短引导时间的选择。

有关所有选项的完整列表和详细描述请查看 systemd-analyze man page。

先决条件

  • 在开始检查 systemd 以调整引导时间之前,您可能需要列出所有启用的服务:

流程

$ systemctl list-unit-files --state=enabled

分析整个引导时间

流程

  • 有关最后一次成功引导时间的总体信息,请使用:
$ systemd-analyze

分析单元初始化时间

流程

  • 有关每个 systemd 单元初始化时间的信息,请使用:
$ systemd-analyze blame

输出会根据在上一次成功引导过程中初始化的时间以降序列出。

识别关键单元

流程

  • 要识别在最后一次引导成功时需要花费最多时间的单元,请使用:
$ systemd-analyze critical-chain

输出突出显示使用红色的引导速度非常慢的单元。

图 17.1. systemd-analyze critical-chain 命令的输出

systemd analyze critical

17.2. 为选择可安全禁用的服务提供指导信息

如果系统的引导时间较长,您可以通过禁用引导时启用的一些服务来缩短这个时间。

要列出这些服务,请运行:

$ systemctl list-unit-files --state=enabled

要禁用某个服务,请运行:

# systemctl disable service_name

然而,某些服务必须启用才能确保操作系统安全,并使其可以正常工作。

您可以使用下面的表格来选择可安全禁用的服务。这个表格列出了在 Red Hat Enterprise Linux 最小安装中默认启用的所有服务。对于每个服务,它还显示是否可安全禁用这个服务。

表还提供有关可禁用该服务的情况的更多信息,或者您不应该禁用该服务的原因。

表 17.1. 在 RHEL 最小安装中默认启用的服务

服务名称它可用被禁用吗?更多信息

auditd.service

仅在不需要内核提供审核信息时禁用 auditd.service。请注意,如果禁用 auditd.service,则不会生成 /var/log/audit/audit.log 文件。因此,您无法追溯检查一些常见的动作或事件,如用户登录、服务启动或密码更改。还请注意 auditd 有两个部分:内核部分和服务本身。使用 systemctl disable auditd 命令,您只是禁用了该服务,而不是禁用内核的部分。要禁用系统审核,请在内核命令行中设置 audit=0

autovt@.service

这个服务只在真正需要时才运行,因此不需要禁用它。

crond.service

请注意,如果您禁用 crond.service,则不会运行 crontab 中的项目。

dbus-org.fedoraproject.FirewallD1.service

firewalld.service 的符号链接

dbus-org.freedesktop.NetworkManager.service

NetworkManager.service 的符号链接

dbus-org.freedesktop.nm-dispatcher.service

NetworkManager-dispatcher.service的符号链接

firewalld.service

仅在不需要防火墙时禁用 firewalld.service

getty@.service

这个服务只在真正需要时才运行,因此不需要禁用它。

import-state.service

仅在不需要从网络存储引导时才禁用 import-state.service

irqbalance.service

仅在只有一个 CPU 时禁用 irqbalance.service。不要在有多个 CPU 的系统中禁用 irqbalance.service

kdump.service

仅在不需要内核崩溃报告时禁用 kdump.service

loadmodules.service

除非 /etc/rc.modules/etc/sysconfig/modules 目录存在,否则该服务不会在最小 RHEL 安装中启动,否则不会启动该服务。

lvm2-monitor.service

仅在您不使用逻辑卷管理器(LVM)时禁用 lvm2-monitor.service

microcode.service

不要禁用该服务,因为它在 CPU 中提供了 microcode 软件的更新。

NetworkManager-dispatcher.service

只在不需要在网络配置更改时通知时才禁用 NetworkManager-dispatcher.service (例如在静态网络中)。

NetworkManager-wait-online.service

只有在引导后不需要工作网络连接时才禁用 NetworkManager-wait-online.service。如果启用该服务,则该系统不会在网络连接正常工作前完成引导。这可能会大大延长引导时间。

NetworkManager.service

仅在不需要连接到网络时禁用 NetworkManager.service

nis-domainname.service

仅在不使用网络信息服务(NIS)时禁用 nis-domainname.service

rhsmcertd.service

 

rngd.service

只在您的系统不需要很多熵或者没有任何硬件生成器时禁用 rngd.service。请注意,在需要大量好熵的环境中,比如用于生成 X.509 证书的系统(如 FreeIPA 服务器)中,该服务是必需的。

rsyslog.service

仅在不需要持久性日志,或把 systemd-journald 设置为持久性模式时,禁用 rsyslog.service

selinux-autorelabel-mark.service

仅在不使用 SELinux 时禁用 selinux-autorelabel-mark.service

sshd.service

仅在不需要 OpenSSH 服务器远程登录时禁用 sshd.service

sssd.service

仅在没有通过网络登录系统的用户(例如,使用 LDAP 或 Kerberos)时禁用 sssd.service。如果禁用了 sssd.service,红帽建议禁用所有 sssd-* 单元。

syslog.service

rsyslog.service 的别名

tuned.service

仅在需要使用性能调整时禁用 tuned.service

lvm2-lvmpolld.socket

仅在您不使用逻辑卷管理器(LVM)时禁用 lvm2-lvmpolld.socket

dnf-makecache.timer

仅在不需要自动更新软件包元数据时禁用 dnf-makecache.timer

unbound-anchor.timer

仅在不需要每日更新 DNS 安全扩展(DNSSEC)的根信任锚时禁用 unbound-anchor.timer。Unbound resolver 和 resolver 库使用这个根信任锚器进行 DNSSEC 验证。

要查找有关服务的更多信息,您可以运行以下命令之一:

$ systemctl cat <service_name>
$ systemctl help <service_name>

systemctl cat 命令提供位于 /usr/lib/systemd/system/<service> 下的服务文件的内容,以及所有适用的覆盖。可用的覆盖包括 /etc/systemd/system/<service> 文件中的单元文件覆盖,或者来自对应的 unit.type.d 目录中的单元文件覆盖。

有关置入文件的详情,请查看 systemd.unit man page。

systemctl help 命令显示特定服务的 man page。

17.3. 其他资源

  • systemctl(1)man page
  • systemd(1)man page
  • systemd-delta(1) man page
  • systemd.directives(7) man page
  • systemd.unit(5) man page
  • systemd.service(5) man page
  • systemd.target(5) man page
  • systemd.kill(5)man page
  • systemd 主页

第 18 章 管理用户和组群帐户简介

用户和组群的控制是 Red Hat Enterprise Linux(RHEL)系统管理的核心元素。每个 RHEL 用户都有不同的登录凭证,并可分配给不同的组以自定义其系统权限。

18.1. 用户和组介绍

创建文件的用户是该文件的拥有者以及该文件的组所有者。这个文件会单独为拥有者、组和组以外的成员分配读、写和执行权限。文件所有者只能由 root 用户更改。root 用户和文件拥有者都可以更改对该文件的访问权限。常规用户可以将他们拥有的文件的组群所有权改为他们所属的组。

每个用户都与一个唯一数字身份号关联,称为 user ID (UID)。每个组都与一个 group ID (GID)关联。组群中的用户共享相同的读取、写入和执行该组所拥有的文件的权限。

18.2. 配置保留的用户和组群 ID

RHEL 为系统用户和组保留在 1000 以下的用户和组群 ID。您可以在 setup 软件包中找到保留的用户和组群 ID。要查看保留的用户和组群 ID,请使用:

cat /usr/share/doc/setup*/uidgid

建议从 5000 开始将 ID 分配给新用户和组,因为保留范围将来可能会增加。

要使分配给新用户的 ID 默认从 5000 开始,修改 /etc/login.defs 文件中的 UID_MINGID_MIN 参数。

流程

要修改并使分配给新用户的 ID 默认从 5000 开始:

  1. 在您选择的编辑器中打开 /etc/login.defs 文件。
  2. 找到为自动 UID 选择定义最小值的行。

    # Min/max values for automatic uid selection in useradd
    #
    UID_MIN                  1000
  3. 修改 UID_MIN 值从 5000 开始。

    # Min/max values for automatic uid selection in useradd
    #
    UID_MIN                  5000
  4. 找到自动选择 GID 最小值的行。

    # Min/max values for automatic gid selection in groupadd
    #
    GID_MIN                  1000
  5. 修改 GID_MIN 值从 5000 开始。

    # Min/max values for automatic gid selection in groupadd
    #
    GID_MIN                  5000

    常规用户动态分配的 UID 和 GID 现在从 5000 开始。

    注意

    在更改 UID_MIN 和 GID_MIN 值前创建的用户和组的 UID 和 GID 不会更改。

    这将允许新用户的组拥有与 UID 和 GID 相同的 5000+ ID。

    警告

    不要通过更改 SYS_UID_MAX 来提高系统 1000 以上保留的 ID,以避免与保留 1000 限制的系统冲突。

18.3. 用户私人组群

RHEL 使用 用户私人组群UPG)系统配置,这可让 UNIX 组更容易管理。无论何时在系统中添加新用户,都会创建一个用户私人组群。用户私人组群的名称与为其创建的用户的名称相同,该用户是该用户私人组群中的唯一成员。

UPG 简化了多个用户之间在项目上的协作。此外,UPG 系统配置可以安全地为新创建文件或目录设置默认权限,因为它允许用户以及此用户所属的组,对文件或目录进行修改。

所有组群列表都保存在 /etc/group 配置文件中。

第 19 章 在 Web 控制台中管理用户帐户

RHEL web 控制台提供了一个图形界面,可让您执行广泛的管理任务,而无需直接访问终端。例如,您可以添加、编辑或删除系统用户帐户。

在阅读这个部分后,您将了解:

  • 现有帐户来自哪里。
  • 如何添加新帐户。
  • 如何设置密码过期。
  • 如何和何时终止用户会话。

先决条件

19.1. Web 控制台中管理的系统用户帐户

您可在 RHEL web 控制台中显示用户帐户:

  • 在访问系统时验证用户。
  • 设置系统的访问权限。

RHEL web 控制台显示系统中的所有用户帐户。因此,在首次登录 web 控制台后,至少可以看到一个可用的用户帐户。

登录到 RHEL web 控制台后,您可以执行以下操作:

  • 创建新用户帐户。
  • 更改其参数。
  • 锁定帐户。
  • 终止用户会话。

19.2. 使用 Web 控制台添加新帐户

使用以下步骤将用户帐户添加到系统,并通过 RHEL web 控制台为帐户设置管理权限。

先决条件

流程

  1. 登录到 RHEL web 控制台。
  2. Account
  3. Create New Account
  1. Full Name 字段中输入用户全名。

    RHEL web 控制台会自动在全名中推荐用户名并在 User Name 字段中填充该用户名。如果您不想使用原始命名规则(由名的第一个字母和完整的姓组成),对它进行更新。

  2. Password/Confirm 字段中输入密码并重新输入该密码以便验证您的密码是否正确。

    下面的颜色栏显示您输入密码的安全等级,这不允许您创建带弱密码的用户。

  1. Create 保存设置并关闭对话框。
  2. 选择新创建的帐户。
  3. Roles 项中选择 Server Administrator

    cockpit terminate session pf4

    现在您可以在 Accounts 设置中看到新帐户,您可以使用凭证连接到该系统。

19.3. 在 web 控制台中强制密码过期

默认情况下,用户帐户将密码设定为永远不会过期。您可以设置系统密码在指定的天数后过期。当密码过期时,下次登录尝试会提示密码更改。

流程

  1. 登录到 RHEL 9 web 控制台。
  2. Account
  3. 选择要强制密码过期的用户帐户。
  4. 在用户帐户设置中,单击第二个 编辑
  5. Password Expiration 对话框中选择 Require password change every …​ days 并输入一个正数,代表密码过期的天数。
  6. Change

验证步骤

  • 要验证是否设定了密码过期时间,打开帐户设置。

    RHEL 9 web 控制台显示与过期日期的链接。

    cockpit password expiration date

19.4. 在 web 控制台中终止用户会话

用户在登录系统时创建用户会话。终止用户会话意味着从系统中注销用户。如果您需要执行对配置更改敏感的管理任务,比如升级系统,这非常有用。

在 RHEL 9 web 控制台中的每个用户帐户中,您可以终止该帐户的所有会话,但您当前使用的 web 控制台会话除外。这可防止您丢失对您的系统的访问。

流程

  1. 登录到 RHEL 9 web 控制台。
  2. Account
  3. 点击要终止会话的用户帐户。
  4. Terminate Session

    如果 Terminate Session 按钮不可用,这个用户就不能登录到系统。

    RHEL web 控制台会终止会话。

第 20 章 从命令行管理用户

您可以使用命令行界面(CLI)来管理用户和组。这可让您在 Red Hat Enterprise Linux 环境中添加、删除和修改用户和组。

20.1. 使用命令行添加新用户

这部分论述了如何使用 useradd 实用程序添加新用户。

先决条件

  • 访问权限

流程

  • 要添加新用户,请使用:

    # useradd options username

    使用 useradd 命令的选项替换 options,并使用用户名称替换 username

    例 20.1. 添加新用户

    添加用户 ID 为 5000 的用户 sarah,使用:

    +

    # useradd -u 5000 sarah

验证步骤

  • 要验证新用户是否已添加,使用 id 工具程序。

    # id sarah

    输出返回:

    uid=5000(sarah) gid=5000(sarah) groups=5000(sarah)

其他资源

  • useradd man page

20.2. 使用命令行添加新组

这部分论述了如何使用 groupadd 工具添加新组。

先决条件

  • 访问权限

流程

  • 要添加新组,请使用:

    # groupadd options group-name

    使用 groupadd 命令的命令行选项替换 options,并使用 group-name 替换 group-name。

    例 20.2. 添加新组

    要添加组 ID 为 5000 的组 sysadmins,请使用:

    +

    # groupadd -g 5000 sysadmins

验证步骤

  • 要验证新组是否已添加,使用 tail 实用程序。

    # tail /etc/group

    输出返回:

    sysadmins:x:5000:

其他资源

  • groupadd man page

20.3. 使用命令行将用户添加到补充组

您可以将用户添加到补充组中以管理权限或启用对特定文件或设备的访问权限。

先决条件

  • root 访问权限

流程

  • 要在用户的附加组中添加一个组,请使用:

    # usermod --append -G group-name username

    使用组群名称替换 group- name,并将 group-name 替换为组的名称。

    例 20.3. 将用户添加到补充组

    要将用户 sysadmin 添加到 system-administrators 组中,请使用:

    # usermod --append -G system-administrators sysadmin

验证步骤

  • 要验证新的组被添加到用户 sysadmin 的附加组中,请使用:

    # groups sysadmin

    输出显示:

    sysadmin : sysadmin system-administrators

20.4. 创建组目录

在 UPG 系统配置下,您可以将 set-group 身份识别权限setgid 位)应用到目录。setgid 位使管理共享目录变得更加简单。当您将 setgid 位应用到某个目录中时,在该目录中创建的文件会自动分配给拥有该目录的组群。在此组中具有写入和执行的任何用户现在都可以在目录中创建、修改和删除文件。

下面的部分论述了如何创建组目录。

先决条件

  • 访问权限

流程

  1. 创建目录:

    # mkdir directory-name

    使用目录名替换 directory-name

  2. 创建组:

    # groupadd group-name

    用组群的名称替换 group-name

  3. 向组中添加用户:

    # usermod --append -G group-name username

    使用组群名称替换 group- name,并将 group-name 替换为组的名称。

  4. 将目录的用户和组群所有权与 group-name 组关联:

    # chown :group-name directory-name

    用组群名称替换 group-name,并用 目录名替换 directory-name

  5. 设置写入权限,允许用户创建和修改文件和目录,并设置 setgid 位使其在 directory-name 目录中应用这个权限:

    # chmod g+rwxs directory-name

    使用目录名替换 directory-name

    现在,group-name 组的所有成员都可以在 directory-name 目录中创建并编辑文件。新创建的文件保留 group-name 组的组群所有权。

验证步骤

  • 要验证设置权限的正确性,请使用:

    # ls -ld directory-name

    使用目录名替换 directory-name

    输出会返回:

    drwxrwsr-x. 2 root group-name 6 Nov 25 08:45 directory-name

第 21 章 使用命令行编辑用户组

用户属于一组特定的组,允许逻辑集合用户对文件和文件夹有类似的访问权限。您可以从命令行编辑主要和补充用户组以更改用户权限。

21.1. 主要和补充用户组

组是一个实体,可将多个用户帐户组合在一起以满足共同目的,例如授予对特定文件的访问权限。

在 Linux 上,用户组可以为主要(primary)或补充(supplementary)。主要和补充组具有以下属性:

主要组
  • 每个用户始终只有一个主组。
  • 您可以更改用户的主组。
补充组
  • 您可以将现有用户添加到现有的补充组中,以管理组中具有相同安全性和访问权限的用户。
  • 用户可以是零个或多个补充组的成员。

21.2. 列出用户的主要和补充组

您可以列出用户组以查看它们所属的主要组和补充组。

流程

  • 显示主要名称以及用户的任何补充组:

    $ groups user-name

    使用用户名称替换 user-name。如果没有提供用户名,命令会显示当前用户的组成员资格。第一个组是主要组,后跟可选的补充组。

    例 21.1. 用户 sarah 的组列表:

    $ groups sarah

    输出显示:

    sarah : sarah wheel developer

    用户 sarah 拥有主组 sarah,是补充组 wheeldeveloper 的成员。

    例 21.2. 用户 marc 的组列表:

    $ groups marc

    输出显示:

    marc : marc

    用户 marc 只有一个主要组 marc,没有补充组。

21.3. 更改用户的主组

您可以将现有用户的主组群更改为新组。

先决条件:

  1. root 访问权限
  2. 新组必须存在

流程

  • 更改用户的主组群:

    # usermod -g group-name user-name

    使用新主组群的名称替换 group-name,并将 user-name 替换为用户的名称。

    注意

    当您更改用户的主要组时,命令还会自动将用户主目录中所有文件的组所有权更改为新的主组。您必须手动修复用户主目录之外的文件的组所有权。

    例 21.3. 更改用户的主要组群示例:

    如果用户 sarah 属于主组 sarah1,而您想要将用户的主组群改为 sarah2,使用:

    # usermod -g sarah2 sarah

验证步骤

  • 验证您已更改了用户的主组群:

    $ groups sarah

    输出显示:

    sarah : sarah2

21.4. 使用命令行将用户添加到补充组

您可以将用户添加到补充组中以管理权限或启用对特定文件或设备的访问权限。

先决条件

  • root 访问权限

流程

  • 要在用户的附加组中添加一个组,请使用:

    # usermod --append -G group-name username

    使用组群名称替换 group- name,并将 group-name 替换为组的名称。

    例 21.4. 将用户添加到补充组

    要将用户 sysadmin 添加到 system-administrators 组中,请使用:

    # usermod --append -G system-administrators sysadmin

验证步骤

  • 要验证新的组被添加到用户 sysadmin 的附加组中,请使用:

    # groups sysadmin

    输出显示:

    sysadmin : sysadmin system-administrators

21.5. 从补充组中删除用户

您可以从补充组中删除现有用户,以限制其权限或访问文件和设备。

先决条件

  • root 访问权限

流程

  • 从补充组中删除用户:

    # gpasswd -d user-name group-name

    使用用户名替换 user-name,并使用补充组的名称替换 group-name

    例 21.5. 从补充组中删除用户

    如果用户 sarah 有主组 sarah2,并属于次要组 wheeldevelopers,而您想要从组 developers 中删除该用户,请使用:

    # gpasswd -d sarah developers

验证步骤

  • 验证是否从第二个组开发人员中删除了用户 sarah:

    $ groups sarah

    输出显示:

    sarah : sarah2 wheel

21.6. 更改用户的所有附加组群

您可以覆盖希望用户保持成员的辅组列表。

先决条件

  • root 访问权限
  • 补充组必须存在

流程

  • 覆盖用户附属组列表:

    # usermod -G group-names username

    使用一个或多个补充组的名称替换 group-names。要一次将用户添加到多个补充组,请使用逗号分隔组名称,且不会有空格。例如: wheel,developer

    使用用户名称替换 user-name

    重要

    如果用户当前是您未指定的组的成员,该命令会从组中删除该用户。

    例 21.6. 更改用户的补充组群列表

    如果用户 sarah 有主组 sarah2,并属于补充组 wheel,并且您希望用户属于另外三个补充组 developer, sysadmin, 和 security,请使用:

    # usermod -G wheel,developer,sysadmin,security sarah

验证步骤

  • 验证补充组群列表是否正确:

    # groups sarah

    输出显示:

    sarah : sarah2 wheel developer sysadmin security

第 22 章 管理 sudo 访问

系统管理员可以授予 sudo 访问权限,以允许非 root 用户执行通常为 root 用户保留的管理命令。因此,非 root 用户可以在不登录 root 用户帐户的情况下执行这样的命令。

22.1. sudoers 中的用户授权

/etc/sudoers 文件指定哪些用户可以使用 sudo 命令运行哪些命令。规则可以应用到单个用户和用户组。您还可以使用别名来简化主机组、命令甚至用户组的定义规则。默认别名在 /etc/sudoers 文件的第一个部分中定义。

当用户尝试使用 sudo 权限来运行在 /etc/sudoers 文件中不允许使用的命令时,系统会将带有 username : user NOT in sudoers 的信息记录到 journal 日志中。

默认的 /etc/sudoers 文件提供了授权信息和示例。您可以通过从行首删除 # 注释字符来激活特定示例规则。与用户相关的 authorizations 部分被标记为以下介绍:

## Next comes the main part: which users can run what software on
## which machines  (the sudoers file can be shared between multiple
## systems).

您可以使用以下格式创建新 sudoers 授权并修改现有授权:

username hostname=path/to/command

其中:

  • username 是用户或组的名称,如 user1%group1
  • hostname 是规则适用的主机的名称。
  • path/to/command 是该命令的完整路径。您还可以通过在命令路径后添加这些选项,将用户限制为仅在具有特定选项和参数执行命令。如果没有指定任何选项,用户可以使用该命令及所有选项。

您可以将任何这些变量替换为 ALL,以将规则应用到所有用户、主机或命令。

警告

使用 permissive 规则(如 ALL=(ALL)ALL) 时,所有用户都可以作为所有主机上的所有用户运行。这可能会存在安全风险。

您可以使用 ! 指定负参数。例如,使用 !root 指定除 root 用户之外的所有用户。请注意,使用 allowlists 允许特定用户、组和命令比使用 blocklists 更安全,以禁止特定用户、组和命令。通过使用允许列表,您还会阻止新的未授权的用户或组。

警告

避免对命令使用负规则,因为用户可以通过使用 alias 命令重命名命令来克服这样的规则。

系统会从开始到结尾读取 /etc/sudoers 文件。因此,如果文件包含多个用户条目,则会按顺序应用条目。如果有冲突的值,系统将使用最后一个匹配项,即使它不是最具体的匹配项。

向 sudoers 添加新规则的首选方式是在 /etc/ sudoers.d/ 目录中创建新文件,而不是直接在 /etc/sudoers 文件中输入规则。这是因为在系统更新过程中保留此目录的内容。另外,修复独立文件中的任何错误比 /etc/sudoers 文件中的任何错误更容易。当在 /etc/sudoers 文件中出现以下行时,系统读取 /etc/sudoers.d 目录中的文件:

#includedir /etc/sudoers.d

请注意,在该行开头的数字符号 # 是语法的一部分,并不意味着该行是一个注释。该目录中文件的名称不能包含句点(.),且不能以波形符 ~ 结尾。

22.2. 为用户授予 sudo 访问权限

系统管理员可以授予 sudo 访问权限来允许非 root 用户执行管理命令。sudo 命令在不使用 root 用户密码的情况下为用户提供管理访问。

当用户需要执行管理命令时,您可以在使用 sudo 命令前执行该命令。然后会像 root 用户一样执行该命令。

请注意以下限制:

  • 只有 /etc/sudoers 配置文件中列出的用户才能使用 sudo 命令。
  • 该命令在用户的 shell 中执行,而不是在 root shell 中执行。

先决条件

  • root 访问权限

流程

  1. 以 root 用户身份,打开 /etc/sudoers 文件。

    # visudo

    /etc/sudoers 文件定义 sudo 命令应用的策略。

  2. /etc/sudoers 文件中找到可为管理 wheel 组群中的用户授予 sudo 访问权限的行。

    ## Allows people in group wheel to run all commands
    %wheel        ALL=(ALL)       ALL
  3. 确保以 %wheel 开头的行前面没有 # 注释字符。
  4. 保存所有更改并退出编辑器。
  5. 将您要授予 sudo 访问权限的用户添加到管理 wheel 组中。

     # usermod --append -G wheel username

    使用用户名替换 username

    验证步骤

    • 验证用户是否已添加到管理 wheel 组中:

      # id username
      uid=5000(username) gid=5000(_username) groups=5000(username),10(wheel)

22.3. 启用非特权用户运行某些命令

您可以配置策略,以允许非特权用户在特定工作站上运行特定的命令。要配置此策略,您需要在 sudoers.d 目录中创建并编辑文件。

先决条件

  • root 访问权限

流程

  1. 以 root 用户身份,在 /etc/ 下创建一个新的 sudoers.d 目录:

    # mkdir -p /etc/sudoers.d/
  2. /etc/sudoers.d 目录中创建一个新文件:

    # visudo -f /etc/sudoers.d/file-name

    使用您要创建的文件的名称替换 file-name。该文件将自动打开。

  3. 在新创建的文件中添加以下行:

    username hostname = /path/to/the/command

    使用用户名替换 username。使用主机的名称替换 hostname。使用到命令的绝对路径(例如 /usr/bin/dnf)替换 /path/to/the/command

  4. 保存所有更改并退出编辑器。

    例 22.1. 启用非特权用户使用 dnf 安装程序

    要启用用户 sarah,使用带有 sudo 权限的 dnf 实用程序在 localhost.localdomain 工作站上安装程序,请使用:

    1. 以 root 用户身份,在 /etc/ 下创建一个新的 sudoers.d 目录:

      # mkdir -p /etc/sudoers.d/
    2. /etc/sudoers.d 目录中创建一个新文件:

      # visudo -f /etc/sudoers.d/sarah

      该文件将自动打开。

    3. /etc/sudoers.d/sarah 文件中添加以下行:

      sarah localhost.localdomain = /usr/bin/dnf

      确保两个命令的由逗号分隔 , 后面接一个空格。

    4. 可选 :如果需要在用户 sarah 每次尝试使用 sudo 权限时收到相关的电子邮件通知,请在文件中添加以下行:

      Defaults    mail_always
      Defaults    mailto="email@domain.com"
    5. 要验证用户 sarah 是否可以使用 sudo 权限运行 dnf 命令,请切换帐户:

      # su sarah -
    6. 输入 sudo dnf 命令:

      $ sudo dnf
      [sudo] password for sarah:

      输入用户 sarahsudo 密码。

    7. 系统显示 dnf 命令和选项列表:

      ...
      usage: dnf [options] COMMAND
      ...

      如果您收到 sarah is not in the sudoers file.这个事件会被报告。 信息,配置没有被正确完成。确保您以 root 身份执行这个步骤,并遵循以下步骤。

22.4. 其他资源

  • sudo(8) 手册页
  • visudo(8) 手册页

第 23 章 更改和重置根密码

如果需要更改现有的根密码,可以以 root 用户或一个非 root 用户重置它。

23.1. 作为 root 用户更改 root 密码

本小节论述了如何使用 passwd 命令以 root 用户更改 root 密码。

先决条件

  • 访问权限

流程

  • 要更改 root 密码,使用:

    # passwd

    在修改前,会提示您输入您当前的密码。

23.2. 以非 root 用户的身份更改或重置根密码

本小节论述了如何以非 root 用户使用 passwd 命令更改或重置 root 密码。

先决条件

  • 您可以以非 root 用户身份登录。
  • 您是管理 wheel 组的成员。

流程

  • wheel 组中的非 root 用户身份修改或重置 root 密码,请使用:

    $ sudo passwd root

    此时会提示您输入当前的非 root 密码,然后才能更改 root 密码。

23.3. 在引导时重置 root 密码

如果您无法以非 root 用户身份登录或者不属于管理 wheel 组,则可以通过切换到一个特殊的 chroot jail 环境在引导时重置 root 密码。

流程

  1. 重启系统,在 GRUB 2 引导屏幕上按 e 键中断引导过程。

    此时会出现内核引导参数。

    load_video
    set gfx_payload=keep
    insmod gzio
    linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
    kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet
    initrd ($root)/initramfs-4.18.0-80.e18.x86_64.img $tuned_initrd
  2. 进入以 linux 开头的行的末尾。

    linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
    kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet

    Ctrl+e 键跳到这一行的末尾。

  3. 在以 linux 开头的行的最后添加 rd.break

    linux ($root)/vmlinuz-4.18.0-80.e18.x86_64 root=/dev/mapper/rhel-root ro crash\
    kernel=auto resume=/dev/mapper/rhel-swap rd.lvm.lv/swap rhgb quiet rd.break
  4. Ctrl+x 使用更改的参数启动系统。

    此时会出现 switch_root 提示符。

  5. 将文件系统重新挂载为可写:

    mount -o remount,rw /sysroot

    文件系统以只读模式挂载到 /sysroot 目录中。将文件系统重新挂载为可写才可以更改密码。

  6. 进入 chroot 环境:

    chroot /sysroot

    此时会出现 sh-4.4# 提示符。

  7. 重置 root 密码:

    passwd

    按照命令行中的步骤完成 root 密码的更改。

  8. 在下次系统引导时启用 SELinux 重新标记进程:

    touch /.autorelabel
  9. 退出 chroot 环境:

    exit
  10. 退出 switch_root 提示符:

    exit
  11. 等待 SELinux 重新标记过程完成。请注意,重新标记一个大磁盘可能需要很长时间。系统会在这个过程完成后自动重启。

验证步骤

  1. 要验证 root 密码是否已成功更改,请以正常用户身份登录并打开 Terminal。
  2. 以 root 用户身份运行互动 shell:

    $ su
  3. 输入您的新 root 密码。
  4. 显示与当前有效用户 ID 关联的用户名:

    whoami

    输出会返回:

    root

第 24 章 管理文件权限

文件权限控制用户和组帐户可以查看、修改、访问和执行文件和目录内容的能力。

每个文件或目录都有三个级别的所有权:

  • 用户所有者(u)。
  • 组所有者(g)。
  • 其他(o)。

可为每个级别的所有权分配以下权限:

  • 读(r)。
  • 写(w)。
  • 执行(x)。

请注意,文件的执行权限允许执行该文件。目录的执行权限允许访问目录中的内容,但不执行它。

创建新文件或目录时,会自动为其分配默认权限集。文件或目录的默认权限基于以下两个因素:

  • 基本权限。
  • user file-creation mode maskumask)。

24.1. 基本文件权限

每当创建新文件或目录时,会自动为其分配基本权限。文件或目录的基本权限可以使用符号或者数值表示。

权限

符号

数值

无权限

---

0

执行

--x

1

-w-

2

写和执行

-wx

3

r--

4

读和执行

r-x

5

读写

rw-

6

读、写、执行

rwx

7

目录的基本权限是 777drwxrwxrwxrwx),它为任何人都授予读、写和执行的权限。这意味着目录所有者、组和其它可以列出目录的内容,并可以在该目录下(以及其子目录)中创建、删除和编辑项。

请注意,一个目录中的单个文件可以有它们自己的权限,例如可以阻止用户您编辑它们,即使用户对该目录有非受限的访问权限。

文件的基本权限为 666-rw-rw-rw-),它为所有人都授予读取和写入的权限。这意味着文件所有者、组和其它用户都可以读和编辑该文件。

例 24.1. 文件的权限

如果文件有以下权限:

$ ls -l
-rwxrw----. 1 sysadmins sysadmins 2 Mar 2 08:43 file
  • - 表示它是文件。
  • rwx 表示文件所有者有读、写和执行文件的权限。
  • rw- 表示组有读写权限,但不能执行文件。
  • --- 表示其他用户没有读、写或执行文件的权限。
  • . 表示为该文件设定了 SELinux 安全上下文。

例 24.2. 目录的权限

如果一个目录有以下权限:

$ ls -dl directory
drwxr-----. 1 sysadmins sysadmins 2 Mar 2 08:43 directory
  • d 表示它是一个目录。
  • rwx 表示目录所有者有读、写和访问目录内容的权限。

    作为目录所有者,您可以列出目录中的项目(文件、子目录),访问这些项目的内容并进行修改。

  • r-- 表示组有读取权限,但没有写或者访问目录的内容。

    作为拥有该目录的组的成员,您可以列出目录中的项目。您无法访问目录中项目的信息或修改它们。

  • --- 表示其他用户没有权限读取、写入或者访问该目录的内容。

    作为不是用户拥有者或该目录的组所有者,您无法列出目录中的项目、访问这些项目的信息或修改它们。

  • . 表示为该目录设定了 SELinux 安全性上下文。
注意

自动分配给某个文件或者目录的基本权限不是文件或目录最终的默认权限。当您创建文件或目录时,基本权限会被 umask 更改。基本权限和 umask 的组合会为文件和目录创建默认权限。

24.2. 用户 file-creation mode mask

用户 file-creation 模式掩码(umask)是控制如何为新创建的文件和目录设置文件权限的变量。umask 会自动从基本权限值中删除权限,以增加 linux 系统的整体安全性。umask 可使用 symbolicoctal 值。

权限

符号

数值

读、写和执行

rwx

0

读写

rw-

1

读和执行

r-x

2

r--

3

写和执行

-wx

4

-w-

5

执行

--x

6

无权限

---

7

标准用户的默认 umask0002root 用户的默认 umask0022

umask 的第一个数字代表特殊权限(sticky 位)。umask 的最后三位数字分别代表从用户拥有者(u)、组群所有者(g)和其它(o)中删除的权限。

例 24.3. 在创建文件时应用 umask

下面的例子演示了,对一个基本权限为 777 的文件应用值为 0137umask,使在创建该文件时其默认权限变为 640

用户组 Umask 示例

24.3. 默认文件权限

所有新创建的文件和目录会自动设置默认权限。默认权限的值通过将 umask 应用到基本权限来确定。

例 24.4. 标准用户创建的目录的默认权限

标准用户创建一个新目录时, umask 被设置为 002rwxrwxr-x),目录的基本权限被设置为 777rwxrwxrwx)。这会使默认权限为 775 (drwxrwxr-x)。

 

符号

数值

基本权限

rwxrwxrwx

777

Umask

rwxrwxr-x

002

默认权限

rwxrwxr-x

775

这意味着目录所有者、组和其它可以列出目录的内容,并可以在该目录下(以及其子目录)中创建、删除和编辑项。其他用户只能列出该目录的内容并将其下移到其中。

例 24.5. 标准用户创建的文件的默认权限

标准用户创建一个新文件时, umask 被设置为 002rwxrwxr-x),文件的基本权限被设置为 666rw-rw-rw-)。这会使默认权限为 664 (-rw-rw-r--)。

 

符号

数值

基本权限

rw-rw-rw-

666

Umask

rwxrwxr-x

002

默认权限

rw-rw-r--

664

这意味着,文件拥有者和组群可以读取和编辑该文件,而其他用户只能读取该文件。

例 24.6. root 用户创建的目录的默认权限

root 用户创建一个新目录时, umask 被设置为 022rwxr-xr-x),目录的基本权限被设置为 777rwxrwxrwx)。这会使默认权限为 755 (rwxr-xr-x)。

 

符号

数值

基本权限

rwxrwxrwx

777

Umask

rwxr-xr-x

022

默认权限

rwxr-xr-x

755

这意味着目录所有者可以列出目录的内容,并可以在该目录下(以及其子目录)中创建、删除和编辑项。这个组群和其它只能列出该目录的内容并将其下移。

例 24.7. root 用户创建的文件的默认权限

root 用户创建一个新文件时, umask 被设置为 022rwxr-xr-x),文件的基本权限被设置为 666rw-rw-rw-)。这会使默认权限为 644-rw-r-​r--)。

 

符号

数值

基本权限

rw-rw-rw-

666

Umask

rwxr-xr-x

022

默认权限

rw-r—​r--

644

这意味着,文件所有者可以读取和编辑文件,而组和其它用户只能读取该文件。

注意

出于安全考虑,常规文件默认没有执行权限,即使 umask 设为 000rwxrwxrwx)。但是,创建的目录可以具有执行权限。

24.4. 使用符号值更改文件权限

您可以使用带有符号值(组合字母和符号)的 chmod 实用程序来更改文件或目录的文件权限。

您可以分配以下权限

  • 读(r)
  • 写入(w)
  • 执行(x)

可将权限分配给以下级别的所有权

  • 用户所有者(u)
  • 组所有者(g)
  • 其他(o)
  • All (a)

要添加或删除权限,您可以使用以下符号

  • + 要在现有权限之上添加权限
  • - 从现有权限中删除权限
  • = 删除现有权限并明确定义新权限

流程

  • 要更改文件或目录的权限,请使用:

    $ chmod <level><operation><permission> file-name

    <level> 替换为您要为其设置权限的所有权级别。将 <operation> 替换为其中一个符号。将 <permission> 替换为您要分配的权限。用文件或目录的名称替换 file-name。例如,若要向所有人授予读取、写入和执行(rwx) my-script.sh 的权限,请使用 chmod a=rwx my-script.sh 命令。

    如需更多详细信息,请参阅基本文件权限

验证步骤

  • 要查看特定文件的权限,请使用:

    $ ls -l file-name

    用文件名替换 file-name

  • 要查看特定目录的权限,请使用:

    $ ls -dl directory-name

    使用目录名替换 directory-name

  • 要查看特定目录中所有文件的权限,请使用:

    $ ls -l directory-name

    使用目录名替换 directory-name

例 24.8. 更改文件和目录的权限

  • 要将 my-file.txt 的文件权限从 -rw-rw-r-- 改为 -rw------,请使用:

    1. 显示 my-file.txt 的当前权限:

      $ ls -l my-file.txt
      -rw-rw-r--. 1 username username 0 Feb 24 17:56 my-file.txt
    2. 从组所有者(g)和其它权限(o)删除读取、写入和执行的权限(rwx):

      $ chmod go= my-file.txt

      请注意,任何在等号(=)之后没有被指定的权限都会被自动禁止。

    3. 验证 my-file.txt 的权限是否已正确设置:

      $ ls -l my-file.txt
      -rw-------. 1 username username 0 Feb 24 17:56 my-file.txt
  • 要将 my-directory 的文件权限从 drwxrwx--- 改为 drwxrwxr-x,请使用:

    1. 显示 my-directory 的当前权限:

      $ ls -dl my-directory
      drwxrwx---. 2 username username 4096 Feb 24 18:12 my-directory
    2. 为所有用户添加读取和执行(r-x)访问权限(一个):

      $ chmod o+rx my-directory
    3. 验证 my-directory 及其内容的权限是否已正确设置:

      $ ls -dl my-directory
      drwxrwxr-x. 2 username username 4096 Feb 24 18:12 my-directory

24.5. 使用数值更改文件权限

您可以使用带有八进制值(数字)的 chmod 程序更改文件或目录的文件权限。

流程

  • 要为现有文件或者目录更改文件权限,请使用:

    $ chmod octal_value file-name

    用文件或目录的名称替换 file-name。使用数值替换 octal_value。如需更多详细信息,请参阅基本文件权限

第 25 章 管理 umask

您可以使用 umask 实用程序来显示、设置或更改 umask 的当前或默认值。

25.1. 显示 umask 的当前值

您可以使用 umask 程序以符号或八进制模式显示 umask 的当前值。

流程

  • 要在符号模式中显示 umask 的当前值,请使用:

    $ umask -S
  • 要以八进制模式显示 umask 的当前值,请使用:

    $ umask
    注意

    以八进制模式显示 umask 时,您可能会看到为四个数字(00020022)。umask 的第一个数字代表一个特殊的位(spicky 位、SGID 位或 SUID 位)。如果第一个数字设定为 0,则代表没有设置特殊位。

25.2. 显示默认 bash umask

您可以使用不同的 shell,如 bashkshzshtcsh。这些 shell 可以是登录或非登录 shell。您可以通过打开一个原生或 GUI 终端来调用登录 shell。

要判断您是在登录 shell 还是非登录 shell 中执行某个命令,请使用 echo $0 命令。

例 25.1. 决定您是在登录的 bash shell 中还是在没有登陆的 bash shell 中工作

  • 如果 echo $0 命令的输出返回 bash,则代表您在非登录 shell 中执行该命令。

    $ echo $0
    bash

    非登录 shell 的默认 umask/etc/bashrc 配置文件中设定。

  • 如果 echo $0 命令的输出返回 -bash,则代表您在登录 shell 中执行该命令。

    # echo $0
    -bash

    登录 shell 的默认 umask/etc/login.defs 配置文件中设定。

流程

  • 要显示非登录 shell 的默认 bash umask,请使用:

    $ grep umask /etc/bashrc

    输出返回:

    # By default, we want umask to get set. This sets it for non-login shell.
           umask 002
           umask 022
  • 要显示登录 shell 的默认 bash umask,请使用:

    grep "UMASK" /etc/login.defs

    输出返回:

    # UMASK is also used by useradd(8) and newusers(8) to set the mode for new
    UMASK        022
    # If HOME_MODE is not set, the value of UMASK is used to create the mode.

25.3. 使用符号值设置 umask

您可以使用 umask 实用程序以及符号值(组合字母和符号)为当前 shell 会话设置 umask

您可以分配以下权限

  • 读(r)
  • 写入(w)
  • 执行(x)

可将权限分配给以下级别的所有权

  • 用户所有者(u)
  • 组所有者(g)
  • 其他(o)
  • All (a)

要添加或删除权限,您可以使用以下符号

  • + 要在现有权限之上添加权限
  • - 从现有权限中删除权限
  • = 删除现有权限并明确定义新权限

    注意

    在等号(=)后未指定的权限都会被自动禁止。

流程

  • 要为当前 shell 会话设置 umask,请使用:

    $ umask -S <level><operation><permission>

    <level> 替换为您要为其设置 umask 的所有权级别。将 <operation> 替换为其中一个符号。将 <permission> 替换为您要分配的权限。例如,要将 umask 设置为 u=rwx,g=rwx,o=rwx,使用 umask -S a=rwx

    如需了解更多详细信息,请参阅 用户 file-creation 模式

    注意

    umask 仅对当前 shell 会话有效。

25.4. 使用数值设置 umask

您可以使用 umask 程序以八进制值(数字)为当前 shell 会话设置 umask

流程

  • 要为当前 shell 会话设置 umask,请使用:

    $ umask octal_value

    使用数值替换 octal_value。如需了解更多详细信息,请参阅 User file-creation mode mask

    注意

    umask 仅对当前 shell 会话有效。

25.5. 更改非登录 shell 的默认 umask

您可以通过修改 /etc/bashrc 文件来更改标准用户的默认 bash umask

先决条件

  • root 访问权限

流程

  1. root 用户身份,在编辑器中打开 /etc/bashrc 文件。
  2. 修改以下部分以设置新的默认 bash umask

        if [ $UID -gt 199 ] && [ id -gn = id -un ]; then
           umask 002
        else
           umask 022
        fi

    umask 的默认值(002)替换为另一个数值。如需了解更多详细信息,请参阅 User file-creation mode mask

  3. 保存更改并退出编辑器。

25.6. 更改登录 shell 的默认 umask

您可以通过修改 /etc/login.defs 文件来更改 root 用户的默认 bash umask

先决条件

  • root 访问权限

流程

  1. root 用户身份,在编辑器中打开 /etc/login.defs 文件。
  2. 修改以下部分以设置新的默认 bash umask

    # Default initial "umask" value used by login(1) on non-PAM enabled systems.
    # Default "umask" value for pam_umask(8) on PAM enabled systems.
    # UMASK is also used by useradd(8) and newusers(8) to set the mode for new
    # home directories if HOME_MODE is not set.
    # 022 is the default value, but 027, or even 077, could be considered
    # for increased privacy. There is no One True Answer here: each sysadmin
    # must make up their mind.
    
    UMASK           022

    umask 的数值(022)替换为另一个数值。如需了解更多详细信息,请参阅 User file-creation mode mask

  3. 保存更改并退出编辑器。

25.7. 更改特定用户的默认 umask

您可以通过修改该用户的 .bashrc 来更改特定用户的默认 umask

流程

  • 将指定 umask 的数值的行附加到特定用户的 .bashrc 文件中。

    $ echo 'umask octal_value' >> /home/username/.bashrc

    使用数值替换 octal_value,并使用用户名替换 username。如需了解更多详细信息,请参阅 User file-creation mode mask

25.8. 为新创建的主目录设置默认权限

您可以通过修改 /etc/login.defs 文件来更改新创建的用户的主目录的权限模式。

流程

  1. root 用户身份,在编辑器中打开 /etc/login.defs 文件。
  2. 修改以下部分以设置新的默认 HOME_MODE

    # HOME_MODE is used by useradd(8) and newusers(8) to set the mode for new
    # home directories.
    # If HOME_MODE is not set, the value of UMASK is used to create the mode.
    HOME_MODE       0700

    将默认数值(0700)替换为另一个数值。所选模式将用于为主目录创建权限。

  3. 如果设置了 HOME_MODE,请保存更改并退出编辑器。
  4. 如果没有设置 HOME_MODE,请修改 UMASK 来设置新创建的主目录的模式:

    # Default initial "umask" value used by login(1) on non-PAM enabled systems.
    # Default "umask" value for pam_umask(8) on PAM enabled systems.
    # UMASK is also used by useradd(8) and newusers(8) to set the mode for new
    # home directories if HOME_MODE is not set.
    # 022 is the default value, but 027, or even 077, could be considered
    # for increased privacy. There is no One True Answer here: each sysadmin
    # must make up their mind.
    
    UMASK           022

    将默认数值(022)替换为另一个数值。如需了解更多详细信息,请参阅 User file-creation mode mask

  5. 保存更改并退出编辑器。

第 26 章 管理访问控制列表

每个文件和目录一次只能有一个用户所有者和一个组所有者。如果要授予用户权限来访问属于不同用户或组的特定文件或目录,同时保留其他文件和目录,您可以利用 Linux 访问控制列表(ACL)。

26.1. 显示当前访问控制列表

您可以使用 getfacl 实用程序显示当前的 ACL。

流程

  • 要显示特定文件或目录的当前 ACL,请使用:

    $ getfacl file-name

    用文件或目录的名称替换 file-name

26.2. 设置访问控制列表

您可以使用 setfacl 实用程序为文件或目录设置 ACL。

先决条件

  • root 访问权限。

流程

  • 要为文件或目录设置 ACL,请使用:
# setfacl -m u:username:symbolic_value file-name

使用用户名替换 username,使用符号值替换 symbolic_value,使用文件或目录的名称替换 file-name。详情请查看 setfacl man page。

例 26.1. 修改组项目的权限

以下示例描述了如何修改属于 root 组的 root 用户拥有的 group-project 文件的权限, 以便使该文件:

  • 不能被任何人执行。
  • 用户 andrewrw- 权限。
  • 用户 susan--- 权限。
  • 其他用户具有 r-- 权限。

流程

# setfacl -m u:andrew:rw- group-project
# setfacl -m u:susan:--- group-project

验证步骤

  • 要验证用户 andrewrw- 权限,用户 susan--- 权限,其他用户有 r-- 权限,使用:

    $ getfacl group-project

    输出会返回:

    # file: group-project
    # owner: root
    # group: root
    user:andrew:rw-
    user:susan:---
    group::r--
    mask::rw-
    other::r--

第 27 章 使用 Chrony 套件配置 NTP

因为许多原因,系统准确计时非常重要。例如在网络中,需要准确的数据包和日志的时间戳。在 Linux 系统中,NTP 协议是由在用户空间运行的守护进程实现的。

用户空间守护进程更新内核中运行的系统时钟。系统时钟可以通过使用不同的时钟源来维护系统的时间。通常, 使用 时间戳计数器TSC)。TSC 是一个 CPU 寄存器,它计算从上次重置的循环数。它非常快,分辨率很高,且不会被中断。

从 Red Hat Enterprise Linux 8 开始,NTP 协议由 chronyd 守护进程实现,它可从 chrony 软件包的软件仓库中获得。

以下小节介绍了如何使用 chrony 套件配置 NTP。

27.1. chrony 套件介绍

chronyNetwork Time Protocol (NTP) 的实现。您可以使用 chrony:

  • 将系统时钟与 NTP 服务器同步
  • 将系统时钟与参考时钟同步,如 GPS 接收器
  • 将系统时钟与手动时间输入同步
  • 作为 NTPv4(RFC 5905) 服务器或 peer 为网络中的其他计算机提供时间服务

在多数条件下,chrony 都会表现良好,包括时断时续的网络连接、有大量网络数据的网络、温度不稳定(普通计算机时钟对温度敏感)以及不持续运行或在虚拟机上运行的系统。

通过互联网镜像同步的两天机器之间的准确性通常在几毫秒之内,而对于 LAN 中的机器则为几十微秒。硬件时间戳或硬件参考时钟可能会提高两个与子微秒级同步的计算机之间的准确性。

chrony 包括 chronyd(一个在用户空间运行的守护进程)和 chronyc(可用来监控 chronyd 性能并在运行时更改各种操作参数的命令行程序)。

chrony 守护进程(chronyd) 可以由命令行工具 chronyc 监控和控制。这个工具提供了一个命令提示,允许输入大量命令来查询 chronyd 的当前状态并修改其配置。在默认情况下,chronyd 只接受来自本地 chronyc 实例的命令,但它也可以被配置为接受来自远程主机的监控命令。应该限制远程访问。

27.2. 使用 chronyc 来控制 chronyd

这部分论述了如何使用 chronyc 命令行工具控制 chronyd

流程

  1. 要在互动模式中使用命令行工具 chronyc 来更改本地 chronyd 实例,以用户身份输入以下命令:

    # chronyc

    如果要使用某些受限命令,chronyc 需要以 root 运行。

    chronyc 命令提示符如下所示:

    chronyc>
  2. 要列出所有命令,请键入 help
  3. 另外,如果与以下命令一同调用,工具也可以在非互动命令模式中调用:

    chronyc command
注意

使用 chronyc 所做的更改不具有持久性,它们会在 chronyd 重启后丢失。要使更改有持久性,修改 /etc/chrony.conf

第 28 章 使用 Chrony

以下小节介绍了如何安装、启动和停止 chronyd,以及如何检查 chrony 是否同步。部分还介绍如何手动调整系统时钟。

28.1. 管理 chrony

以下流程描述了如何安装、启动、停止和检查 chronyd 的状态。

流程

  1. chrony 在 Red Hat Enterprise Linux 被默认安装。以 root 用户运行以下命令进行验证:

    # dnf install chrony

    chrony 守护进程的默认位置为 /usr/sbin/chronyd。命令行工具将安装到 /usr/bin/chronyc

  2. 运行以下命令检查 chronyd 的状态:

    systemctl status chronyd
    chronyd.service - NTP client/server
       Loaded: loaded (/usr/lib/systemd/system/chronyd.service; enabled)
       Active: active (running) since Wed 2013-06-12 22:23:16 CEST; 11h ago
  3. 要启动 chronyd,使用 root 用户身份运行以下命令:

    # systemctl start chronyd

    要确保 chronyd 在系统启动时自动启动,以 root 身份运行以下命令:

    # systemctl enable chronyd
  4. 要停止 chronyd,以 root 身份运行以下命令:

    # systemctl stop chronyd

    要防止 chronyd 在系统启动时自动启动,以 root 身份运行以下命令:

    # systemctl disable chronyd

28.2. 检查是否同步 chrony

以下流程描述了如何检查 chrony 是否与使用 tracking, sources, 和 sourcestats 命令同步。

流程

  1. 运行以下命令检查 chrony 跟踪:

    chronyc tracking
    Reference ID    : CB00710F (foo.example.net)
    Stratum         : 3
    Ref time (UTC)  : Fri Jan 27 09:49:17 2017
    System time     :  0.000006523 seconds slow of NTP time
    Last offset     : -0.000006747 seconds
    RMS offset      : 0.000035822 seconds
    Frequency       : 3.225 ppm slow
    Residual freq   : 0.000 ppm
    Skew            : 0.129 ppm
    Root delay      : 0.013639022 seconds
    Root dispersion : 0.001100737 seconds
    Update interval : 64.2 seconds
    Leap status     : Normal
  2. sources 命令显示 chronyd 正在访问的当前时间源的信息。运行以下命令检查 chrony 源:

    $ chronyc sources
    	210 Number of sources = 3
    MS Name/IP address         Stratum Poll Reach LastRx Last sample
    ===============================================================================
    #* GPS0                          0   4   377    11   -479ns[ -621ns] /-  134ns
    ^? a.b.c                         2   6   377    23   -923us[ -924us] +/-   43ms
    ^ d.e.f                         1   6   377    21  -2629us[-2619us] +/-   86ms

    可以使用可选参数 -v 来包括详细信息。在这种情况下,会输出额外的标头行显示字段含义的信息。

  3. sourcestats 命令显示目前被 chronyd 检查的每个源的偏移率和误差估算过程的信息。运行以下命令检查 chrony 源统计:

    chronyc sourcestats
    210 Number of sources = 1
    Name/IP Address            NP  NR  Span  Frequency  Freq Skew  Offset  Std Dev
    ===============================================================================
    abc.def.ghi                11   5   46m     -0.001      0.045      1us    25us

    可以使用可选参数 -v 来包括详细信息。在这种情况下,会输出额外的标头行显示字段含义的信息。

其他资源

  • chronyc(1) man page

28.3. 手动调整系统时钟

以下流程描述了如何手动调整系统时钟。

流程

  1. 要立即调整系统时钟,绕过单机进行的任何调整,以 root 身份运行以下命令:

    # chronyc makestep

如果使用了 rtcfile 指令,则不应该手动调整实时时钟。随机调整会干扰 chrony的需要测量实时时钟偏移的速度。

28.4. 在隔离的网络中为系统设定 chrony

对于从来不连接到互联网的网络来说,一台计算机被选为主计时服务器。其他计算机要么是主计算机的直接客户端,要么是客户端的客户端。在 master 上,必须使用系统时钟的平均偏移率手动设置 drift 文件。如果 master 被重启,它将从周围的系统获得时间并计算设定系统时钟的平均值。之后它会恢复基于 drift 文件的调整。当使用 settime 命令时会自动更新 drift 文件。

以下流程描述了如何为隔离的网络中的系统设置 chrony

流程

  1. 在选为 master 的系统上,以 root 用户身份运行一个文本编辑器来编辑 /etc/chrony.conf,如下所示:

    driftfile /var/lib/chrony/drift
    commandkey 1
    keyfile /etc/chrony.keys
    initstepslew 10 client1 client3 client6
    local stratum 8
    manual
    allow 192.0.2.0

    其中 192.0.2.0 是允许客户端连接的网络或者子网地址。

  2. 在选择为 master 客户端的系统上,以 root 用户身份运行一个文本编辑器来编辑 /etc/chrony.conf,如下所示:

    server master
    driftfile /var/lib/chrony/drift
    logdir /var/log/chrony
    log measurements statistics tracking
    keyfile /etc/chrony.keys
    commandkey 24
    local stratum 10
    initstepslew 20 master
    allow 192.0.2.123

    其中 192.0.2.123 是 master 的地址, master 是 master 的主机名。带有此配置的客户端如果重启 master 将重新同步。

在不是 master 客户端的客户端系统中,/etc/chrony.conf 文件应该是相同的,除了应该省略 localallow 指令。

在隔离的网络中,您还可以使用 local 指令来启用本地参考模式。该模式可允许 chronyd 作为 NTP 服务器实时显示同步,即使它从未同步或者最后一次更新时钟早前发生。

要允许网络中的多个服务器使用相同的本地配置并相互同步,而不让客户端轮询多个服务器,请使用 local 指令的 orphan 选项启用孤立模式。每一服务器需要配置为轮询使用本地的所有其他服务器。这样可确保只有具有最小参考 ID 的服务器具有本地参考活跃状态,并同步其他服务器。当服务器出现故障时,另一个服务器将接管。

28.5. 配置远程监控访问

chronyc 可以通过两种方式访问 chronyd:

  • 互联网协议、IPv4 或者 IPv6。
  • UNIX 域套接字,由 root 用户或 chrony 用户从本地进行访问。

默认情况下,chronyc 连接到 Unix 域套接字。默认路径为 /var/run/chrony/chronyd.sock。如果此连接失败,例如 chronyc 在非 root 用户下运行,chronyc 会尝试连接到 127.0.0.1,然后 ::1。

网络中只允许以下监控命令,它们不会影响 chronyd 的行为:

  • activity
  • manual list
  • rtcdata
  • smoothing
  • sources
  • sourcestats
  • tracking
  • waitsync

chronyd 接受这些命令的主机集合可以使用 chronyd 配置文件中的 cmdallow 指令,或者在 chronyc 中使用 cmdallow 命令配置。默认情况下,只接受来自本地主机(127.0.0.1 或 ::1)的命令。

所有其他命令只能通过 Unix 域套接字进行。当通过网络发送时,chronyd 会返回 Notauthorized 错误,即使它来自 localhost。

以下流程描述了如何使用 chronyc 远程访问 chronyd。

流程

  1. /etc/chrony.conf 文件中添加以下内容来允许 IPv4 和 IPv6 地址的访问:

    bindcmdaddress 0.0.0.0

    或者

    bindcmdaddress ::
  2. 使用 cmdallow 指令允许来自远程 IP 地址、网络或者子网的命令。

    /etc/chrony.conf 文件中添加以下内容:

    cmdallow 192.168.1.0/24
  3. 在防火墙中打开端口 323 以从远程系统连接:

    #  firewall-cmd --zone=public --add-port=323/udp

    另外,您可以使用 --permanent 选项永久打开端口 323:

    #  firewall-cmd --permanent --zone=public --add-port=323/udp
  4. 如果您永久打开端口 323,请重新载入防火墙配置:

    firewall-cmd --reload

其他资源

  • chrony.conf(5) 手册页

28.6. 使用 RHEL 系统角色管理时间同步

您可以使用 timesync 角色在多个目标机器上管理时间同步。timesync 角色安装并配置 NTP 或 PTP 实现来作为 NTP 客户端或 PTP slave 操作,以便将系统时钟与 PTP 域中的 NTP 服务器或 grandmasters 同步。

警告

timesync 角色替换了受管主机上给定或检测到的供应商服务的配置。之前的设置即使没有在角色变量中指定,也会丢失。如果没有定义 timesync_ntp_provider 变量,唯一保留的设置就是供应商选择。

以下示例演示了如何在只有一个服务器池的情况下应用 timesync 角色。

例 28.1. 为单一服务器池应用 timesync 角色的 playbook 示例

---
- hosts: timesync-test
  vars:
    timesync_ntp_servers:
      - hostname: 2.rhel.pool.ntp.org
        pool: yes
        iburst: yes
  roles:
    - rhel-system-roles.timesync

有关 timesync 角色变量的详细参考,请安装 rhel-system-roles 软件包,并参阅 /usr/share/doc/rhel-system-roles/timesync 目录中的 README.md 或 README.html 文件。

28.7. 其他资源

第 29 章 带有 HW 时间戳的 Chrony

硬件时间戳是一些网络接口控制器(NIC)中支持的一项功能,它提供了准确的传入和传出数据包的时间戳。NTP 时间戳通常由内核及使用系统时钟的 chronyd 创建。但是,当启用 HW 时间戳时,NIC 使用其自己的时钟在数据包进入或离开链路层或物理层时生成时间戳。与 NTP 一起使用时,硬件时间戳可能会显著提高同步的准确性。为了获得最佳准确性,NTP 服务器和 NTP 客户端都需要使用硬件时间戳。在理想的情况下,有可能有微秒级的准确性。

另一个用于使用硬件时间戳进行时间同步的协议是 PTP

NTP 不同,PTP 依赖于网络交换机和路由器。如果您想要达到同步的最佳准确性,请在带有 PTP 支持的网络中使用 PTP,在使用不支持这个协议的交换机和路由器的网络上选择 NTP

以下小节描述了如何进行:

  • 验证硬件时间戳支持
  • 启用硬件时间戳
  • 配置客户端轮询间隔
  • 启用交集模式
  • 为大量客户端配置服务器
  • 验证硬件时间戳
  • 配置 PTP-NTP 网桥

29.1. 验证硬件时间戳支持

要验证接口是否支持使用 NTP 的硬件时间戳,请使用 ethtool -T 命令。如果 ethtool 列出了 SOF_TIMESTAMPING_TX_HARDWARESOF_TIMESTAMPING_TX_SOFTWARE 模式,以及 HWTSTAMP_FILTER_ ALL 过滤器模式,则可以使用硬件时间戳的 NTP

例 29.1. 在特定接口中验证硬件时间戳支持

# ethtool -T eth0

输出:

Timestamping parameters for eth0:
Capabilities:
        hardware-transmit     (SOF_TIMESTAMPING_TX_HARDWARE)
        software-transmit     (SOF_TIMESTAMPING_TX_SOFTWARE)
        hardware-receive      (SOF_TIMESTAMPING_RX_HARDWARE)
        software-receive      (SOF_TIMESTAMPING_RX_SOFTWARE)
        software-system-clock (SOF_TIMESTAMPING_SOFTWARE)
        hardware-raw-clock    (SOF_TIMESTAMPING_RAW_HARDWARE)
PTP Hardware Clock: 0
Hardware Transmit Timestamp Modes:
        off                   (HWTSTAMP_TX_OFF)
        on                    (HWTSTAMP_TX_ON)
Hardware Receive Filter Modes:
        none                  (HWTSTAMP_FILTER_NONE)
        all                   (HWTSTAMP_FILTER_ALL)
        ptpv1-l4-sync         (HWTSTAMP_FILTER_PTP_V1_L4_SYNC)
        ptpv1-l4-delay-req    (HWTSTAMP_FILTER_PTP_V1_L4_DELAY_REQ)
        ptpv2-l4-sync         (HWTSTAMP_FILTER_PTP_V2_L4_SYNC)
        ptpv2-l4-delay-req    (HWTSTAMP_FILTER_PTP_V2_L4_DELAY_REQ)
        ptpv2-l2-sync         (HWTSTAMP_FILTER_PTP_V2_L2_SYNC)
        ptpv2-l2-delay-req    (HWTSTAMP_FILTER_PTP_V2_L2_DELAY_REQ)
        ptpv2-event           (HWTSTAMP_FILTER_PTP_V2_EVENT)
        ptpv2-sync            (HWTSTAMP_FILTER_PTP_V2_SYNC)
        ptpv2-delay-req       (HWTSTAMP_FILTER_PTP_V2_DELAY_REQ)

29.2. 启用硬件时间戳

要启用硬件时间戳,请使用 /etc/chrony.conf 文件中的 hwtimestamp 指令。该指令可指定单一接口,也可以指定通配符字符来启用所有支持接口的硬件时间戳。如果没有其它应用程序,如 linuxptp 软件包中的 ptp4l,请使用通配符规格,则在接口中使用硬件时间戳。在 chrony 配置文件中允许使用多个 hwtimestamp 指令。

例 29.2. 使用 hwtimestamp 指令启用硬件时间戳

hwtimestamp eth0
hwtimestamp eth1
hwtimestamp *

29.3. 配置客户端轮询间隔

建议为互联网中的服务器使用默认的轮询间隔范围(64-1024秒)。对于本地服务器和硬件时间戳,需要配置一个较短的轮询间隔,以便最小化系统时钟偏差。

/etc/chrony.conf 中的以下指令使用一秒钟轮询间隔指定本地 NTP 服务器:

server ntp.local minpoll 0 maxpoll 0

29.4. 启用交集模式

不是硬件 NTP 设备的 NTP 服务器,而常规计算机运行软件 NTP 实施(如 chrony )仅在发送数据包后获得硬件传输时间戳。这个行为可防止服务器在它对应的数据包中保存时间戳。要启用 NTP 客户端接收传输时间戳后生成的传输时间戳,请将客户端配置为使用 NTP 交集模式,方法是在 /etc/chrony.conf 中的 server 指令中添加 xleave 选项:

server ntp.local minpoll 0 maxpoll 0 xleave

29.5. 为大量客户端配置服务器

默认服务器配置允许最多成千上万个客户端同时使用交集模式。要为更多的客户端配置服务器,增大 /etc/chrony.conf 中的 clientloglimit 指令。这个指令指定为服务器中客户端访问的日志分配的内存量:

clientloglimit 100000000

29.6. 验证硬件时间戳

要校验该接口是否已成功启用了硬件时间戳,请检查系统日志。这个日志应该包含来自 chronyd 的每个接口的消息,并成功启用硬件时间戳。

例 29.3. 为启用硬件时间戳的接口记录日志信息

chronyd[4081]: Enabled HW timestamping on eth0
chronyd[4081]: Enabled HW timestamping on eth1

chronyd 配置为 NTP 客户端或 peer 时,您可以传输和接收时间戳模式,以及 chronyc ntpdata 命令为每个 NTP 源报告的交集模式:

例 29.4. 报告每个 NTP 源的传输、接收时间戳以及交集模式

# chronyc ntpdata

输出:

Remote address  : 203.0.113.15 (CB00710F)
Remote port     : 123
Local address   : 203.0.113.74 (CB00714A)
Leap status     : Normal
Version         : 4
Mode            : Server
Stratum         : 1
Poll interval   : 0 (1 seconds)
Precision       : -24 (0.000000060 seconds)
Root delay      : 0.000015 seconds
Root dispersion : 0.000015 seconds
Reference ID    : 47505300 (GPS)
Reference time  : Wed May 03 13:47:45 2017
Offset          : -0.000000134 seconds
Peer delay      : 0.000005396 seconds
Peer dispersion : 0.000002329 seconds
Response time   : 0.000152073 seconds
Jitter asymmetry: +0.00
NTP tests       : 111 111 1111
Interleaved     : Yes
Authenticated   : No
TX timestamping : Hardware
RX timestamping : Hardware
Total TX        : 27
Total RX        : 27
Total valid RX  : 27

例 29.5. 报告 NTP 测量的稳定性

# chronyc sourcestats

启用硬件时间戳后,NTP 测量的稳定性应该在正常负载下以十或几百秒为单位。在 chronyc sourcestats 命令的输出的 Std Dev 列中报告这个稳定性:

输出:

210 Number of sources = 1
Name/IP Address            NP  NR  Span  Frequency  Freq Skew  Offset  Std Dev
ntp.local                  12   7    11     +0.000      0.019     +0ns    49ns

29.7. 配置 PTP-NTP 桥接

如果网络中存在一个高度准确的 Precision Time Protocol (PTP) grandmaster,但没有支持 PTP 支持的交换机或路由器,则一个计算机会可能会被指定专门用于作为 PTP slave 和一个 stratum-1 NTP 服务器。此类计算机需要具有两个或更多个网络接口,并且接近 grandmaster 或与它建立直接连接。这样可保证高度准确的网络同步。

linuxptp 软件包中配置 ptp4lphc2sys 程序,以使用 PTP 来同步系统时钟。

chronyd 配置为使用其他接口提供系统时间:

例 29.6. 将 chronyd 配置为使用其他接口提供系统时间

bindaddress 203.0.113.74
hwtimestamp eth1
local stratum 1

第 30 章 chrony 中的网络时间安全概述(NTS)

Network Time Security(NTS)是用于网络时间协议(NTP)的身份验证机制,旨在扩展大量客户端。它将验证从服务器计算机接收的数据包在移到客户端机器时是否被取消处理。Network Time Security(NTS)包含 Key Establishment(NTS-KE)协议,该协议会自动创建在服务器及其客户端中使用的加密密钥。

30.1. 在客户端配置文件中启用网络时间协议(NTS)

默认情况下不启用 Network Time Security(NTS)。您可以在 /etc/chrony.conf 中启用 NTS。为此,请执行以下步骤:

先决条件

  • 带有 NTS 支持的服务器

流程

在客户端配置文件中:

  1. 除推荐的 iburst 选项外,使用 nts 选项指定服务器。

    For example:
    server time.example.com iburst nts
    server nts.netnod.se iburst nts
    server ptbtime1.ptb.de iburst nts
  2. 要避免在系统引导时重复 Network Time Security-Key Establishment(NTS-KE)会话,请在 chrony.conf 中添加以下行(如果不存在):

    ntsdumpdir /var/lib/chrony
  3. 要禁用与 DHCP 提供的网络时间协议(NTP)服务器进行同步,请在 chrony.conf 中注释掉或删除以下行:

    sourcedir /run/chrony-dhcp
  4. 保存您的更改。
  5. 重启 chronyd 服务:

    systemctl restart chronyd

验证

  • 验证 NTS 密钥是否已成功建立:

    # chronyc -N authdata
    
    Name/IP address  Mode KeyID Type KLen Last Atmp  NAK Cook CLen
    ================================================================
    time.example.com  NTS     1   15  256  33m    0    0    8  100
    nts.sth1.ntp.se   NTS     1   15  256  33m    0    0    8  100
    nts.sth2.ntp.se   NTS     1   15  256  33m    0    0    8  100

    KeyIDTypeKLen 应带有非零值。如果该值为零,请检查系统日志中来自 chronyd 的错误消息。

  • 验证客户端是否正在进行 NTP 测量:

    # chronyc -N sources
    
    MS Name/IP address Stratum Poll Reach LastRx Last sample
    =========================================================
    time.example.com   3        6   377    45   +355us[ +375us] +/-   11ms
    nts.sth1.ntp.se    1        6   377    44   +237us[ +237us] +/-   23ms
    nts.sth2.ntp.se    1        6   377    44   -170us[ -170us] +/-   22ms

    Reach 列中应具有非零值;理想情况是 377。如果值很少为 377 或永远不是 377,这表示 NTP 请求或响应在网络中丢失。

其他资源

  • chrony.conf(5) 手册页

30.2. 在服务器上启用网络时间安全性(NTS)

如果您运行自己的网络时间协议(NTP)服务器,您可以启用服务器网络时间协议(NTS)支持来促进其客户端安全地同步。

如果 NTP 服务器是其它服务器的客户端,即它不是 Stratum 1 服务器,它应使用 NTS 或对称密钥进行同步。

先决条件

  • PEM 格式的服务器私钥
  • 带有 PEM 格式的所需中间证书的服务器证书

流程

  1. chrony.conf中指定私钥和证书文件

    For example:
    ntsserverkey /etc/pki/tls/private/foo.example.net.key
    ntsservercert /etc/pki/tls/certs/foo.example.net.crt
  2. 通过设置组所有权,确保 chrony 系统用户可读密钥和证书文件。

    For example:
    chown :chrony /etc/pki/tls/*/foo.example.net.*
  3. 确保 chrony.conf 中存在 ntsdumpdir /var/lib/chrony 指令。
  4. 重启 chronyd 服务:

    systemctl restart chronyd
    重要

    如果服务器具有防火墙,则需要允许 NTP 和 Network Time Security-Key Establishment(NTS-KE)的 UDP 123TCP 4460 端口。

验证

  • 使用以下命令从客户端机器执行快速测试:

    $ chronyd -Q -t 3 'server
    
    foo.example.net iburst nts maxsamples 1'
    2021-09-15T13:45:26Z chronyd version 4.1 starting (+CMDMON +NTP +REFCLOCK +RTC +PRIVDROP +SCFILTER +SIGND +ASYNCDNS +NTS +SECHASH +IPV6 +DEBUG)
    2021-09-15T13:45:26Z Disabled control of system clock
    2021-09-15T13:45:28Z System clock wrong by 0.002205 seconds (ignored)
    2021-09-15T13:45:28Z chronyd exiting

    System clock wrong 消息指示 NTP 服务器接受 NTS-KE 连接并使用 NTS 保护的 NTP 消息进行响应。

  • 验证 NTS-KE 连接并验证服务器中观察的 NTP 数据包:

    # chronyc serverstats
    
    NTP packets received       : 7
    NTP packets dropped        : 0
    Command packets received   : 22
    Command packets dropped    : 0
    Client log records dropped : 0
    NTS-KE connections accepted: 1
    NTS-KE connections dropped : 0
    Authenticated NTP packets: 7

    如果 NTS-KE connections acceptedAuthenticated NTP packets 项带有一个非零值,这意味着至少有一个客户端能够连接到 NTS-KE 端口并发送经过身份验证的 NTP 请求。

第 31 章 使用 OpenSSH 的两个系统间使用安全通讯

SSH(Secure Shell)是一种协议,它使用客户端-服务器架构在两个系统之间提供安全通信,并允许用户远程登录到服务器主机系统。和其它远程沟通协议,如 FTP 或 Telnet 不同,SSH 会加密登录会话,它会阻止入侵者从连接中收集未加密的密码。

Red Hat Enterprise Linux 包括基本的 OpenSSH 软件包:通用的 openssh 软件包、openssh-server 软件包以及 openssh-clients 软件包。请注意,OpenSSH 软件包需要 OpenSSL 软件包 openssl-libs,它会安装几个重要的加密库来启用 OpenSSH 对通讯进行加密。

31.1. SSH 和 OpenSSH

SSH(安全 Shell)是一个登录远程机器并在该机器上执行命令的程序。SSH 协议通过不安全的网络在两个不可信主机间提供安全加密的通讯。您还可以通过安全频道转发 X11 连接和任意 TCP/IP 端口。

当使用 SSH 协议进行远程 shell 登录或文件复制时,SSH 协议可以缓解威胁,例如,拦截两个系统之间的通信和模拟特定主机。这是因为 SSH 客户端和服务器使用数字签名来验证其身份。另外,所有客户端和服务器系统之间的沟通都是加密的。

主机密钥验证使用 SSH 协议的主机。主机密钥是首次安装 OpenSSH,或者主机第一次引导时自动生成的加密密钥。

OpenSSH 是 Linux、UNIX 和类似操作系统支持的 SSH 协议的实现。它包括 OpenSSH 客户端和服务器需要的核心文件。OpenSSH 组件由以下用户空间工具组成:

  • ssh 是一个远程登录程序(SSH 客户端)。
  • sshd 是一个 OpenSSH SSH 守护进程。
  • scp 是一个安全的远程文件复制程序。
  • sftp 是一个安全的文件传输程序。
  • ssh-agent 是用于缓存私钥的身份验证代理。
  • ssh-addssh-agent 添加私钥身份。
  • ssh-keygen 生成、管理并转换 ssh 验证密钥。
  • ssh-copy-id 是一个将本地公钥添加到远程 SSH 服务器上的 authorized_keys 文件的脚本。
  • ssh-keyscan 收集 SSH 公共主机密钥。
注意

在 RHEL 9 中,安全复制协议(SCP)默认替换为 SSH 文件传输协议(SFTP)。这是因为 SCP 已经引起了安全问题,例如 CVE-2020-15778

如果您的场景中无法使用 SFTP 或不兼容的情况,您可以使用 -O 选项强制使用原始 SCP/RCP 协议。

如需更多信息,请参阅 Red Hat Enterprise Linux 9 中的 OpenSSH SCP 协议弃用

现有两个 SSH 版本: 版本 1 和较新的版本 2。RHEL 中的 OpenSSH 套件只支持 SSH 版本 2。它具有增强的键交换算法,这些算法不受版本 1 中已知的漏洞的影响。

OpenSSH 作为 RHEL 的核心加密子系统之一,使用系统范围的加密策略。这样可确保在默认配置中禁用弱密码套件和加密算法。要修改策略,管理员必须使用 update-crypto-policies 命令来调整设置,或者手动选择不使用系统范围的加密策略。

OpenSSH 套件使用两组配置文件:一个用于客户端程序(即 sshscpsftp)以及服务器( sshd 守护进程)的另一个配置文件。

系统范围的 SSH 配置信息保存在 /etc/ssh/ 目录中。用户特定的 SSH 配置信息保存在用户主目录中的 ~/.ssh/ 中。有关 OpenSSH 配置文件的详细列表,请查看 sshd(8) man page 中的 FILES 部分。

其他资源

31.2. 配置并启动 OpenSSH 服务器

使用以下步骤进行您的环境以及启动 OpenSSH 服务器所需的基本配置。请注意,在默认 RHEL 安装后,sshd 守护进程已经启动,服务器主机密钥会自动被创建。

先决条件

  • 已安装 openssh-server 软件包。

流程

  1. 在当前会话中启动 sshd 守护进程,并在引导时自动启动:

    # systemctl start sshd
    # systemctl enable sshd
  2. 指定与默认值(0.0.0.0 (IPv4) 或 ::)不同的地址(IPv6) /etc/ssh/sshd_config 配置文件中的 ListenAddress 指令,并使用较慢的动态网络配置,将 network-online.target 目标单元的依赖关系添加到 sshd.service 单元文件。要做到这一点,使用以下内容创建 /etc/systemd/system/sshd.service.d/local.conf 文件:

    [Unit]
    Wants=network-online.target
    After=network-online.target
  3. 查看 /etc/ssh/sshd_config 配置文件中的 OpenSSH 服务器设置是否满足您的要求。
  4. (可选)通过编辑 /etc/issue 文件来更改您的 OpenSSH 服务器在客户端验证前显示的欢迎信息,例如:

    Welcome to ssh-server.example.com
    Warning: By accessing this server, you agree to the referenced terms and conditions.

    确保 /etc/ssh/sshd_config 中未注释掉 Banner 选项,并且其值包含 /etc/issue

    # less /etc/ssh/sshd_config | grep Banner
    Banner /etc/issue

    请注意:要在成功登录后改变显示的信息,您必须编辑服务器上的 /etc/motd 文件。详情请查看 pam_motd man page。

  5. 重新载入 systemd 配置,并重启 sshd 以应用修改:

    # systemctl daemon-reload
    # systemctl restart sshd

验证

  1. 检查 sshd 守护进程是否正在运行:

    # systemctl status sshd
    ● sshd.service - OpenSSH server daemon
       Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; vendor preset: enabled)
       Active: active (running) since Mon 2019-11-18 14:59:58 CET; 6min ago
         Docs: man:sshd(8)
               man:sshd_config(5)
     Main PID: 1149 (sshd)
        Tasks: 1 (limit: 11491)
       Memory: 1.9M
       CGroup: /system.slice/sshd.service
               └─1149 /usr/sbin/sshd -D -oCiphers=aes128-ctr,aes256-ctr,aes128-cbc,aes256-cbc -oMACs=hmac-sha2-256,>
    
    Nov 18 14:59:58 ssh-server-example.com systemd[1]: Starting OpenSSH server daemon...
    Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on 0.0.0.0 port 22.
    Nov 18 14:59:58 ssh-server-example.com sshd[1149]: Server listening on :: port 22.
    Nov 18 14:59:58 ssh-server-example.com systemd[1]: Started OpenSSH server daemon.
  2. 使用 SSH 客户端连接到 SSH 服务器。

    # ssh user@ssh-server-example.com
    ECDSA key fingerprint is SHA256:dXbaS0RG/UzlTTku8GtXSz0S1++lPegSy31v3L/FAEc.
    Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
    Warning: Permanently added 'ssh-server-example.com' (ECDSA) to the list of known hosts.
    
    user@ssh-server-example.com's password:

其他资源

  • sshd(8)sshd_config(5) 手册页。

31.3. 为基于密钥的身份验证设置 OpenSSH 服务器

要提高系统安全性,通过在 OpenSSH 服务器上禁用密码身份验证来强制进行基于密钥的身份验证。

先决条件

  • 已安装 openssh-server 软件包。
  • sshd 守护进程正在服务器中运行。

流程

  1. 在文本编辑器中打开 /etc/ssh/sshd_config 配置,例如:

    # vi /etc/ssh/sshd_config
  2. PasswordAuthentication 选项改为 no:

    PasswordAuthentication no

    在新默认安装以外的系统中,检查 PubkeyAuthentication 没有被设置,并且将 ChallengeResponseAuthentication 指令设为 no。如果您要进行远程连接,而不使用控制台或带外访问,在禁用密码验证前测试基于密钥的登录过程。

  3. 要在 NFS 挂载的主目录中使用基于密钥的验证,启用 use_nfs_home_dirs SELinux 布尔值:

    # setsebool -P use_nfs_home_dirs 1
  4. 重新载入 sshd 守护进程以应用更改:

    # systemctl reload sshd

其他资源

  • sshd(8), sshd_config(5)setsebool(8) 手册页。

31.4. 生成 SSH 密钥对

使用这个步骤在本地系统中生成 SSH 密钥对,并将生成的公钥复制到 OpenSSH 服务器中。如果正确配置了服务器,您可以在不提供任何密码的情况下登录到 OpenSSH 服务器。

重要

如果以 root 用户身份完成以下步骤,则只有 root 用户可以使用密钥。

流程

  1. 为 SSH 协议的版本 2 生成 ECDSA 密钥对:

    $ ssh-keygen -t ecdsa
    Generating public/private ecdsa key pair.
    Enter file in which to save the key (/home/joesec/.ssh/id_ecdsa):
    Enter passphrase (empty for no passphrase):
    Enter same passphrase again:
    Your identification has been saved in /home/joesec/.ssh/id_ecdsa.
    Your public key has been saved in /home/joesec/.ssh/id_ecdsa.pub.
    The key fingerprint is:
    SHA256:Q/x+qms4j7PCQ0qFd09iZEFHA+SqwBKRNaU72oZfaCI joesec@localhost.example.com
    The key's randomart image is:
    +---[ECDSA 256]---+
    |.oo..o=++        |
    |.. o .oo .       |
    |. .. o. o        |
    |....o.+...       |
    |o.oo.o +S .      |
    |.=.+.   .o       |
    |E.*+.  .  . .    |
    |.=..+ +..  o     |
    |  .  oo*+o.      |
    +----[SHA256]-----+

    您还可以通过输入 ssh-keygen -t ed25519 命令,在 ssh-keygen 命令或 Ed25519 密钥对中使用 -t rsa 选项生成 RSA 密钥对。

  2. 要将公钥复制到远程机器中:

    $ ssh-copy-id joesec@ssh-server-example.com
    /usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
    joesec@ssh-server-example.com's password:
    ...
    Number of key(s) added: 1
    
    Now try logging into the machine, with: "ssh 'joesec@ssh-server-example.com'" and check to make sure that only the key(s) you wanted were added.

    如果您没有在会话中使用 ssh-agent 程序,上一个命令会复制最新修改的 ~/.ssh/id*.pub 公钥。要指定另一个公钥文件,或在 ssh-agent 内存中缓存的密钥优先选择文件中的密钥,使用带有 -i 选项的 ssh-copy-id 命令。

注意

如果重新安装您的系统并希望保留之前生成的密钥对,备份 ~/.ssh/ 目录。重新安装后,将其复制到主目录中。您可以为系统中的所有用户(包括 root 用户)进行此操作。

验证

  1. 在不提供任何密码的情况下登录到 OpenSSH 服务器:

    $ ssh joesec@ssh-server-example.com
    Welcome message.
    ...
    Last login: Mon Nov 18 18:28:42 2019 from ::1

其他资源

  • ssh-keygen(1)ssh-copy-id(1) 手册页。

31.5. 使用保存在智能卡中的 SSH 密钥

Red Hat Enterprise Linux 可让您使用保存在 OpenSSH 客户端智能卡中的 RSA 和 ECDSA 密钥。使用这个步骤使用智能卡而不是使用密码启用验证。

先决条件

  • 在客户端中安装了 opensc 软件包,pcscd 服务正在运行。

流程

  1. 列出所有由 OpenSC PKCS #11 模块提供的密钥,包括其 PKCS #11 URIs,并将输出保存到 key.pub 文件:

    $ ssh-keygen -D pkcs11: > keys.pub
    $ ssh-keygen -D pkcs11:
    ssh-rsa AAAAB3NzaC1yc2E...KKZMzcQZzx pkcs11:id=%02;object=SIGN%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so
    ecdsa-sha2-nistp256 AAA...J0hkYnnsM= pkcs11:id=%01;object=PIV%20AUTH%20pubkey;token=SSH%20key;manufacturer=piv_II?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so
  2. 要使用远程服务器上的智能卡(example.com)启用验证,将公钥传送到远程服务器。使用带有上一步中创建的 key.pubssh-copy-id 命令:

    $ ssh-copy-id -f -i keys.pub username@example.com
  3. 要使用在第 1 步的 ssh-keygen -D 命令输出中的 ECDSA 密钥连接到 example.com,您只能使用 URI 中的一个子集,它是您的密钥的唯一参考,例如:

    $ ssh -i "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so" example.com
    Enter PIN for 'SSH key':
    [example.com] $
  4. 您可以使用 ~/.ssh/config 文件中的同一 URI 字符串使配置持久:

    $ cat ~/.ssh/config
    IdentityFile "pkcs11:id=%01?module-path=/usr/lib64/pkcs11/opensc-pkcs11.so"
    $ ssh example.com
    Enter PIN for 'SSH key':
    [example.com] $

    因为 OpenSSH 使用 p11-kit-proxy 包装器,并且 OpenSC PKCS #11 模块是注册到 PKCS#11 Kit 的,所以您可以简化前面的命令:

    $ ssh -i "pkcs11:id=%01" example.com
    Enter PIN for 'SSH key':
    [example.com] $

如果您跳过 PKCS #11 URI 的 id= 部分,则 OpenSSH 会加载代理模块中可用的所有密钥。这可减少输入所需的数量:

$ ssh -i pkcs11: example.com
Enter PIN for 'SSH key':
[example.com] $

其他资源

31.6. 使 OpenSSH 更安全

以下提示可帮助您在使用 OpenSSH 时提高安全性。请注意,/etc/ssh/sshd_config OpenSSH 配置文件的更改需要重新载入 sshd 守护进程才能生效:

# systemctl reload sshd
重要

大多数安全强化配置更改会降低与不支持最新算法或密码套件的客户端的兼容性。

禁用不安全的连接协议

  • 要使 SSH 生效,防止使用由 OpenSSH 套件替代的不安全连接协议。否则,用户的密码可能只会在一个会话中被 SSH 保护,可能会在以后使用 Telnet 登录时被捕获。因此,请考虑禁用不安全的协议,如 telnet、rsh、rlogin 和 ftp。

启用基于密钥的身份验证并禁用基于密码的身份验证

  • 禁用密码验证并只允许密钥对可减少安全攻击面,还可节省用户的时间。在客户端上,使用 ssh-keygen 工具生成密钥对,并使用 ssh-copy-id 工具从 OpenSSH 服务器的客户端复制公钥。要在 OpenSSH 服务器中禁用基于密码的验证,请编辑 /etc/ssh/sshd_config,并将 PasswordAuthentication 选项改为 no:

    PasswordAuthentication no

密钥类型

  • 虽然 ssh-keygen 命令会默认生成一组 RSA 密钥,但您可以使用 -t 选项指定它生成 ECDSA 或者 Ed25519 密钥。ECDSA(Elliptic Curve Digital Signature Algorithm)能够在同等的对称密钥强度下,提供比 RSA 更好的性能。它还会生成较短的密钥。Ed25519 公钥算法是 一种变形的 Edwards 曲线的实现,其比 RSA、DSA 和 ECDSA 更安全,也更快。

    如果没有这些密钥,OpenSSH 会自动创建 RSA、ECDSA 和 Ed25519 服务器主机密钥。要在 RHEL 中配置主机密钥创建,请使用 sshd-keygen@.service 实例化服务。例如,禁用自动创建 RSA 密钥类型:

    # systemctl mask sshd-keygen@rsa.service
  • 要排除 SSH 连接的特定密钥类型,注释 /etc/ssh/sshd_config 中的相关行,并重新载入 sshd 服务。例如,只允许 Ed25519 主机密钥:

    # HostKey /etc/ssh/ssh_host_rsa_key
    # HostKey /etc/ssh/ssh_host_ecdsa_key
    HostKey /etc/ssh/ssh_host_ed25519_key

非默认端口

  • 默认情况下,sshd 守护进程侦听 TCP 端口 22。更改此端口可降低系统因自动网络扫描而受到攻击的风险,并可以提高安全性。您可以使用 /etc/ssh/sshd_config 配置文件中的 Port 指令指定端口。

    您还必须更新默认 SELinux 策略以允许使用非默认端口。要做到这一点,使用 policycoreutils-python-utils 软件包中的 semanage 工具:

    # semanage port -a -t ssh_port_t -p tcp port_number

    另外,更新 firewalld 配置:

    # firewall-cmd --add-port port_number/tcp
    # firewall-cmd --runtime-to-permanent

    在前面的命令中,将 port_number 替换为使用 Port 指令指定的新端口号。

root 登录

  • 默认情况下,PermitRootLogin 设置为 prohibit-password。这强制使用基于密钥的身份验证,而不是使用密码以 root 身份登录,并通过防止暴力攻击来降低风险。

    小心

    以 root 用户身份登录并不是一个安全的做法,因为管理员无法审核运行哪个特权命令。要使用管理命令,请登录并使用 sudo

使用 X Security 扩展

  • Red Hat Enterprise Linux 客户端中的 X 服务器不提供 X 安全扩展。因此,当连接到带有 X11 转发的不可信 SSH 服务器时,客户端无法请求另一个安全层。大多数应用程序都无法在启用此扩展时运行。

    默认情况下,/etc/ssh/ssh_config.d/05-redhat.conf 文件中的 ForwardX 11Trusted 选项被设置为 yes,且 ssh -X remote_machine (不信任主机)和 ssh -Y remote_machine (可信主机)命令之间没有区别。

    如果您的场景根本不需要 X11 转发功能,请将 /etc/ssh/sshd_config 配置文件中的 X11Forwarding 指令设置为 no

限制对特定用户、组群或者域的访问

  • /etc/ssh/sshd_config 配置文件服务器中的 AllowUsersAllowGroups 指令可让您只允许某些用户、域或组连接到您的 OpenSSH 服务器。您可以组合 AllowUsersAllow Groups 来更准确地限制访问,例如:

    AllowUsers *@192.168.1.*,*@10.0.0.*,!*@192.168.1.2
    AllowGroups example-group

    以上配置行接受来自 192.168.1.* 和 10.0.0.* 子网中所有用户的连接,但 192.168.1.2 地址的系统除外。所有用户都必须在 example-group 组中。OpenSSH 服务器拒绝所有其他连接。

    请注意,使用允许列表(以 Allow 开头的指令)比使用阻止列表(以 Deny 开始的选项)更安全,因为允许列表也会阻止新的未授权的用户或组。

更改系统范围的加密策略

  • OpenSSH 使用 RHEL 系统范围的加密策略,默认的系统范围的加密策略级别为当前的威胁模型提供安全设置。要使您的加密设置更严格,请更改当前的策略级别:

    # update-crypto-policies --set FUTURE
    Setting system policy to FUTURE
  • 要为您的 OpenSSH 服务器选择不使用系统范围的加密策略,请在 /etc/sysconfig/sshd 文件中使用 CRYPTO_POLICY= 变量取消对行的注释。更改后,您在 /etc/ssh/sshd_config 文件中的 CiphersMACKexAlgoritmsGSSAPIKexAlgorithms 部分指定的值不会被覆盖。请注意,此任务需要在配置加密选项方面具有深厚的专业知识。
  • 如需更多信息,请参阅安全强化中的使用系统范围的加密策略

其他资源

  • sshd_config(5)ssh-keygen(1)crypto-policies(7)update-crypto-policies(8) 手册页。

31.7. 使用 SSH 跳过主机连接到远程服务器

使用这个步骤通过中间服务器(也称为跳过主机)将本地系统连接到远程服务器。

先决条件

  • 跳过主机接受来自本地系统的 SSH 连接。
  • 远程服务器只接受来自跳过主机的 SSH 连接。

流程

  1. 通过编辑本地系统中的 ~/.ssh/config 文件来定义跳板主机,例如:

    Host jump-server1
      HostName jump1.example.com
    • Host 参数定义您可以在 ssh 命令中使用的主机的名称或别名。该值可以匹配真实的主机名,但也可以是任意字符串。
    • HostName 参数设置跳过主机的实际主机名或 IP 地址。
  2. 使用 ProxyJump 指令将远程服务器跳板配置添加到本地系统上的 ~/.ssh/config 文件中,例如:

    Host remote-server
      HostName remote1.example.com
      ProxyJump jump-server1
  3. 使用您的本地系统通过跳过服务器连接到远程服务器:

    $ ssh remote-server

    如果省略了配置步骤 1 和 2,则上一命令等同于 ssh -J skip-server1 remote-server 命令。

注意

您可以指定更多的跳板服务器,您也可以在提供其完整主机名时跳过在配置文件中添加主机定义,例如:

$ ssh -J jump1.example.com,jump2.example.com,jump3.example.com remote1.example.com

如果跳板服务器上的用户名或 SSH 端口与远程服务器上的用户名和端口不同,请只修改上一命令中的主机名表示法,例如:

$ ssh -J johndoe@jump1.example.com:75,johndoe@jump2.example.com:75,johndoe@jump3.example.com:75 joesec@remote1.example.com:220

其他资源

  • ssh_config(5)ssh(1) 手册页.

31.8. 通过 ssh-agent ,使用 SSH 密钥连接到远程机器

为了避免在每次发起 SSH 连接时输入密语,您可以使用 ssh-agent 工具缓存 SSH 私钥。确保私钥和密语安全。

先决条件

  • 您有一个运行 SSH 守护进程的远程主机,并且可通过网络访问。
  • 您知道登录到远程主机的 IP 地址或者主机名以及凭证。
  • 您已用密码生成了 SSH 密钥对,并将公钥传送到远程机器。

如需更多信息,请参阅 生成 SSH 密钥对

流程

  1. 可选:验证您可以使用密钥向远程主机进行身份验证:

    1. 使用 SSH 连接到远程主机:

      $ ssh example.user1@198.51.100.1 hostname
    2. 输入您在创建密钥时设定的密码短语以授予对私钥的访问权限。

      $ ssh example.user1@198.51.100.1 hostname
       host.example.com
  2. 启动 ssh-agent

    $ eval $(ssh-agent)
    Agent pid 20062
  3. 将密钥添加到 ssh-agent

    $ ssh-add ~/.ssh/id_rsa
    Enter passphrase for ~/.ssh/id_rsa:
    Identity added: ~/.ssh/id_rsa (example.user0@198.51.100.12)

验证

  • 可选:使用 SSH 登录主机机器。

    $ ssh example.user1@198.51.100.1
    
    Last login: Mon Sep 14 12:56:37 2020

    请注意您不必输入密码短语。

31.9. 其他资源