CentOS 7上的系統管理之：Systemd和systemctl

簡介

早期的CentOS 5系統上，使用的init系統是SysV init。這套系統執行穩定，使用shell指令碼的形式，序列地一個個啟動進程，當前一個進程啟動完畢後，再啟動後一個。這種方式帶來的缺點是：

• 計算機的啟動速度很慢，後面的進程必須等待前面的進程依次序列地啟動完畢方可啟動。
• 有的服務可能在啟動後很長的一段時間或者幾乎不會使用到，例如伺服器中的列印服務。

發展到CentOS 6的時候，init系統換成了Upstart，這個系統有效的解決了上述的缺點，實現了並行啟動和按需啟動。

而到了CentOS 7的時候，則出現了Systemd這套init系統，它更加完善了並行啟動和按需啟動，使得啟動的速度更上一層樓。這裡的按需啟動，指的是某個服務被設定為開機啟動，當開機時該服務並沒有真正的啟動，只是註冊好了socket占用，等待第一次有請求進來的時候，Systemd懸掛該請求然後啟動服務，服務啟動完畢後就恢復該請求，從而實現按需啟動，這種方式也變相加速了系統的啟動速度。

Systemd不僅僅是一個服務，還可以用於管理系統自身的方方面面，例如紀錄檔、類似crond的任務排程程式（timer）、電源管理等等。

Systemd支援向後相容（backward compatible）SysV init的指令碼等其他的諸多特性，使得其目前在慢慢成為Linux發行版的一種標準，這是一件好事。

這篇文章所能闡述的也只是Systemd的皮毛而已。主要描述了運維人員在日常使用中應該掌握的systemctl命令，以及如何閱讀unit檔案以及尋找幫助。

Unit

在Systemd中使用組態檔來進行管理，這些組態檔叫做unit。unit有許許多多的型別，如下。

Unit組態檔

unit檔案存在於三個位置：

• /usr/lib/systemd/system/：軟體程式包所提供的unit檔案。例如httpd程式包提供了httpd.service檔案。
• /run/systemd/system/：執行時所建立的unit檔案。優先順序高於已安裝的服務unit檔案所在的目錄。
• /etc/systemd/system/：通過systemctl enable所建立的和用於擴充套件一個服務所新增的unit檔案目錄。優先順序高於執行時unit檔案。

優先順序：/etc/systemd/system/ --> /run/systemd/system/ --> /usr/lib/systemd/system/。

Systemd組態檔

/etc/systemd/system.conf是Systemd的組態檔，使用者可以編輯此檔案來修改值。想要恢復預設值的話直接刪除此檔案即可。檔案中每個選項的作用可以參考man手冊systemd-system.conf(5)。

主特性

• 基於socket啟用（socket-based）：在引導時，系統針對所有支援這類啟用的系統服務建立監聽socket，一旦服務啟動就將這些socket傳遞給它們。這不僅允許systemd並行啟動服務，還使得服務在重新啟動的時候不會丟失任何在其服務不可用期間傳送給它的訊息（因為相關的socket仍然可以存取並且將所有的訊息放入佇列中）。該特性需要使用socket unit。
• 基於匯流排啟用（bus-based）：當第一次被用戶端程式存取的時候，使用D-Bus用於IPC的系統服務可以按需啟動。該特性需要使用D-Bus服務檔案。
• 基於裝置啟用（device-based）：當某種特定的硬體裝置被插入或者可用時，支援基於裝置啟用的系統服務可以按需啟動。該特性需要使用device unit。
• 基於路徑啟用（path-based）：當一個檔案或者目錄改變其狀態時，支援基於路徑啟用的系統服務可以按需啟動。該特性需要使用path unit。
• 掛載和自動掛載點管理：Systemd監視和管理掛載和自動掛載點。該特性需要使用mount和automount unit。
• 進擊的並行性（aggressive parallelization）：由於具備基於socket啟用的特性，只要所有監聽的socket準備就緒，systemd就可以並行啟動服務。結合系統服務的按需啟用特性，並行啟用有效地減少了系統啟動的時間。
• 支援事務的（transactional）unit啟用邏輯：在啟用或者關閉（deactivate）一個unit之前，systemd會計算它的依賴關係，建立一個臨時事務，驗證事務的一致性。當一個事務出現不一致的情況時，systemd會在其報錯之前嘗試去校對它並從中移除一些不重要的工作。
• 向後相容（backward compatibility）SysV init：支援遵循LSB標準的SysV init指令碼。

相容性變化

Systemd在設計的時候盡可能做到與SysV和Upstart相容，不過還是有一些點是不同的，需要留意：

• Systemd對於執行級別的支援是有限的，並不是所有的執行級別都支援。其對於執行級別的支援是通過target unit來實現的，類似一種對映關係，例如graphical.target對映到runlevel5。systemd程式包在發行的時候包含了runlevel命令，不過使用者因該儘量避免使用該命令。
• systemctl程式不支援自定義子命令。在CentOS 6的SysV init指令碼中，除了支援start、stop和restart這些基礎子命令以外，指令碼作者還可以撰寫任何自己希望實現的功能實現額外的子命令。例如RHEL 6中的iptables指令碼支援panic子命令，該子命令告訴系統進入panic模式，丟棄所有的流入和流出的封包。而systemctl，僅支援文件中列出的子命令。
• 非由systemd所啟動的服務，無法收到systemctl管理。當使用systemd啟動服務的時候，systemd會記錄並追蹤服務的主進程PID，systemctl命令通過該PID來管理服務進程。若使用者通過程式的CLI程式啟動服務的話，那麼systemd就無法獲取並追蹤該PID了。
• Systemd只能停止執行中的服務。在以前，RHEL 6和以往的版本中，系統使用【/etc/rc0.d/】中的字元連結來關閉所有可用的服務而不關心它們的狀態。在systemd中，只有執行中的服務會被關閉了。
• 系統服務無法從標準輸入流中讀取資料。當systemd啟動一個服務的時候，會將/dev/null和服務的STDIN關聯起來，使得使用者無法與其互動。
• 系統服務不會從呼叫它們的使用者和對談中繼承任何上下文（context，例如HOME和PATH這類環境變數）。每個服務執行在一個乾淨的執行上下文中。
• 當載入一個SysV init指令碼的時候，systemd從LSB頭中讀取依賴關係並在執行時解釋。
• Systemd的服務unit有一個程式碼寫死的5分鐘超時時長，用於處理那些執行出現故障的服務。這個時長可以在獨立的服務類unit檔案中修改。

管理服務

在SysV init和Upstart中，使用【/etc/rc.d/init.d/】下的shell指令碼（一般是bash）來管理服務，使用的命令是service和chkconfig。在Systemd中使用service型別的unit檔案（.service檔案）來管理，使用的命令統一為systemctl。

由於向後相容的特性的存在，舊命令依然可用，但是官方並不建議。新舊命令的對應關係如下。

service命令和systemctl命令對照表，service命令用於管理一個服務的啟動和停止。

chkconfig命令和systemctl命令對照表，chkconfig命令用於管理服務的開機啟動情況以及將服務納入chkconfig管理。

在書寫unit名稱的時候，一般是建議寫全名，這樣比較能顧名思義，例如“httpd.service”。不過簡寫，不寫unit型別字尾，那麼systemctl也是可以識別的，如下2個命令的效果是一樣的，systemctl會自動識別unit型別。

~]# systemctl stop nfs-server.service
~]# systemctl stop nfs-server

unit的名稱如果比較長，可以定義一個簡短的別名，想檢視別名的話使用如下命令。show子命令可以檢視很多unit的資訊。

[root@c7-server ~]# systemctl show httpd.service -p Names
Names=httpd.service

如果結合chroot命令來執行systemctl命令的話，大部分命令是不可用的，除了systemctl enable和systemctl disable，詳見官方文件。

列出服務

列出所有當前已載入的服務。

[root@c7-server ~]# systemctl list-units --type service
  UNIT                               LOAD   ACTIVE SUB     DESCRIPTION
  abrt-ccpp.service                  loaded active exited  Install ABRT coredump hook
  abrt-oops.service                  loaded active running ABRT kernel log watcher
  abrt-xorg.service                  loaded active running ABRT Xorg log watcher
...
● kdump.service                      loaded failed failed  Crash recovery kernel arming
...

UNIT：unit的完整名稱。

LOAD：載入的情況。

ACTIVE：高階啟用狀態。

SUB：低階啟用狀態。這個狀態會取決於unit的型別有不同的狀態值。

DESCRIPTION：描述。

預設情況下列出的是已啟用的服務（不過從上述結果來看，狀態為failed的也可以被列出），想要檢視已載入的所有狀態的服務的話，需要傳遞--all選項。

註：--type和--all均有縮寫版，為了顧名思義，這裡盡量都參照官方文件，給出了完整版選項。

從結果上來看，LOAD狀態為not-found的也可以被列出。

[root@c7-server ~]# systemctl list-units --type service --all
  UNIT                                                  LOAD      ACTIVE   SUB     DESCRIPTION
  abrt-ccpp.service                                     loaded    active   exited  Install ABRT coredump hook
  abrt-oops.service                                     loaded    active   running ABRT kernel log watcher
  abrt-vmcore.service                                   loaded    inactive dead    Harvest vmcores for ABRT
...
● apparmor.service                                      not-found inactive dead    apparmor.service
...
● kdump.service                                         loaded    failed   failed  Crash recovery kernel arming
...

檢視所有已安裝的服務類unit單元，並可檢視其是否開機啟動。

[root@c7-server ~]# systemctl list-unit-files
UNIT FILE                                     STATE   
proc-sys-fs-binfmt_misc.automount             static
...
tmp.mount                                     disabled
...
cups.path                                     enabled
...
sssd-autofs.service                           indirect
...

顯示服務狀態

[root@c7-server ~]# systemctl status httpd.service
● httpd.service - The Apache HTTP Server
   Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled; vendor preset: disabled)
   Active: inactive (dead)
     Docs: man:httpd(8)
           man:apachectl(8)
[root@c7-server ~]# systemctl start httpd.service
[root@c7-server ~]# systemctl status httpd.service
● httpd.service - The Apache HTTP Server
   Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled; vendor preset: disabled)
   Active: active (running) since Fri 2019-11-22 11:49:33 CST; 1s ago
     Docs: man:httpd(8)
           man:apachectl(8)
 Main PID: 3193 (httpd)
   Status: "Processing requests..."
    Tasks: 6
   CGroup: /system.slice/httpd.service
           ├─3193 /usr/sbin/httpd -DFOREGROUND
           ├─3195 /usr/sbin/httpd -DFOREGROUND
           ├─3196 /usr/sbin/httpd -DFOREGROUND
           ├─3197 /usr/sbin/httpd -DFOREGROUND
           ├─3199 /usr/sbin/httpd -DFOREGROUND
           └─3201 /usr/sbin/httpd -DFOREGROUND

Nov 22 11:49:32 c7-server systemd[1]: Starting The Apache HTTP Server...
Nov 22 11:49:33 c7-server systemd[1]: Started The Apache HTTP Server.

服務處於啟動或停止的狀態時，有不同的狀態資訊顯示。使用root使用者執行此命令，還可以顯示紀錄檔資訊。

如果僅希望檢視服務是否啟動，是否開機啟動的話，可使用如下命令。

[root@c7-server ~]# systemctl is-active httpd.service
active
[root@c7-server ~]# systemctl is-enabled httpd.service
disabled

啟動、停止和重新啟動等

~]# systemctl start httpd.service
~]# systemctl stop httpd.service
~]# systemctl restart httpd.service

如果服務原本是停止的狀態，則執行restart會啟用該服務。如果我們希望只有當服務當前是啟動的狀態才重新啟動的話，那麼應該執行try-restart。

~]# systemctl try-restart httpd.service

某些服務支援在不打斷執行狀態的情況下過載服務從而讀取組態檔。

~]# systemctl reload httpd.service

如果服務不支援過載的話，服務會忽略systemd的reload操作。為了方便，確保修改的組態檔一定會生效，可以執行如下2個子命令。

reload-or-restart：嘗試reload，如果服務不支援就restart。

reload-or-try-restart：嘗試reload，如果服務不支援就try-restart。如果服務本身沒啟動，那麼再執行了此命令後應該也不會啟動，需要手工啟動。啟動時，服務就會去讀取組態檔了。

~]# systemctl reload-or-restart httpd.service
~]# systemctl reload-or-try-restart httpd.service

開機啟動

~]# systemctl enable httpd.service
~]# systemctl disable httpd.service

當我們設定開機啟動的時候，systemd會讀取服務的組態檔（/usr/lib/systemd/system/httpd.service）中的[Install]部分。

[Install]
WantedBy=multi-user.target

根據此部分的內容建立字元連結。

Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

如果服務本身是開機啟動的，那麼再執行一次enable的話並不會建立字元連結檔案。想確保其一定建立的話，可使用reenable。

~]# systemctl reenable httpd.service
Removed symlink /etc/systemd/system/multi-user.target.wants/httpd.service.
Created symlink from /etc/systemd/system/multi-user.target.wants/httpd.service to /usr/lib/systemd/system/httpd.service.

關閉開機啟動，就是刪除字元連結了。

~]# systemctl disable httpd.service
Removed symlink /etc/systemd/system/multi-user.target.wants/httpd.service.

systemd支援mask操作，如果一個服務被mask了，那麼它無法被手動啟動或者被其他服務所啟動，也無法被設定為開機啟動。

[root@c7-server ~]# systemctl mask httpd.service
Created symlink from /etc/systemd/system/httpd.service to /dev/null.
[root@c7-server ~]# systemctl start httpd.service
Failed to start httpd.service: Unit is masked.
[root@c7-server ~]# systemctl enable httpd.service
Failed to execute operation: Cannot send after transport endpoint shutdown

可使用unmask來取消mask。

~]# systemctl unmask httpd.service
Removed symlink /etc/systemd/system/httpd.service.

啟動一個衝突的服務

在systemd中存在積極的（positive）依賴和消極的（negative）依賴。啟動某個特定的服務，可能會要求啟動一個或多個其他服務（此為積極的依賴），或者要求停止一個或多個其他服務（此為消極的依賴）。

當你嘗試啟動某個服務的時候，systemd會自動解決這些依賴關係。注意，systemd不會顯式通知使用者。如果你已經啟動了一個服務A（比如postfix），然後你嘗試啟動服務B（比如sendmail），服務B和服務A有消極的依賴關係，那麼當你啟動服務B的時候，服務A會自動被停止。

註：sendmail和postfix都是郵件服務，之間存在消極的依賴關係。

TARGET

Systemd上使用target來模仿以前的執行級別的概念。不過要注意，這只是模仿，並不代表完全一樣。target可以看作是一系列的unit的集合從而實現某個執行級別的功能。並且這些target之間會存在一個依賴鏈的關係。例如想啟動圖形介面（graphical.target）的話，就需要啟動圖形服務（gdm.service）或者賬戶服務（accounts-daemon.service）並且需要啟用multi-user.target。同樣地，multi-user.target需要啟動網路服務（NetworkManager.service）或者D-Bus（dbus.service）並啟用basic.target。basic.target也有自己的依賴。

執行級別和target的對應關係如下表。

檢視、切換執行級別/target的新舊命令如下表所示，應儘量避免使用舊的命令。

檢視預設target

~]# systemctl get-default
graphical.target

這個值的獲取，其實是去檢索字元連結。

~]# ls -l /etc/systemd/system/default.target
lrwxrwxrwx. 1 root root 36 Oct 17 15:06 /etc/systemd/system/default.target -> /lib/systemd/system/graphical.target

檢視當前target

~]# systemctl list-units --type target
UNIT                   LOAD   ACTIVE SUB    DESCRIPTION
basic.target           loaded active active Basic System
bluetooth.target       loaded active active Bluetooth
cryptsetup.target      loaded active active Local Encrypted Volumes
getty-pre.target       loaded active active Login Prompts (Pre)
getty.target           loaded active active Login Prompts
graphical.target       loaded active active Graphical Interface
local-fs-pre.target    loaded active active Local File Systems (Pre)
local-fs.target        loaded active active Local File Systems
multi-user.target      loaded active active Multi-User System
network-online.target  loaded active active Network is Online
network-pre.target     loaded active active Network (Pre)
network.target         loaded active active Network
nfs-client.target      loaded active active NFS client services
nss-user-lookup.target loaded active active User and Group Name Lookups
paths.target           loaded active active Paths
remote-fs-pre.target   loaded active active Remote File Systems (Pre)
remote-fs.target       loaded active active Remote File Systems
rpc_pipefs.target      loaded active active rpc_pipefs.target
slices.target          loaded active active Slices
sockets.target         loaded active active Sockets
sound.target           loaded active active Sound Card
swap.target            loaded active active Swap
sysinit.target         loaded active active System Initialization
timers.target          loaded active active Timers

這個命令查詢出來的，是當前已載入並啟用的target。那麼我們如何從裡面找到當前的target是什麼呢？

在bootup(7)的man手冊中有描述，並不是所有的unit都是並行啟動的，區域性並行，整體依然是有先後次序之分的。例如：

sysinit.target --> basic.target --> multi-user.target --> graphical.target

rescue.target和emergency.target應該都是單獨出現，也就是說：

見到rescue.target或者emergency.target或者graphical.target，那麼就是對應的target，這三者之間不會有並存的關係。

見到multi-user.target，就看看有沒有graphical.target，沒有的話那就是multi-user.target。

設定預設target

~]# systemctl set-default multi-user.target
Removed symlink /etc/systemd/system/default.target.
Created symlink from /etc/systemd/system/default.target to /usr/lib/systemd/system/multi-user.target.

修改當前的target

類似於以前的切換執行級別。

~]# systemctl isolate multi-user.target

執行了該命令以後，我在Xshell的終端不會斷開，不過VMware中的虛擬機器已經退出了GUI進入了CLI。

切換救援（rescue）模式

當正常的系統啟動流程失敗的時候，可以進入救援模式。救援模式是一種單使用者的模式，用於讓使用者修復系統。在救援模式中，OS嘗試掛載所有的檔案系統並啟動一些重要的系統服務，但它不會啟用網路服務也只允許單使用者同時登入。類似於以前的單使用者模式。

~]# systemctl rescue

切換至救援模式以後，Xshell終端全部退出並無法登陸，並收到廣播通知。

Broadcast message from root@c7-server on pts/1 (Fri 2019-11-22 17:14:20 CST):

The system is going down to rescue mode NOW!

如果管理員不想讓使用者收到這個通知，可以使用--no-wall選項。

VMware控制台退出登入並要求root密碼重新登入。

也可以使用isolate子命令切換至救援模式，但是isolate的方式，不會向其他使用者傳送切換救援模式的通知。

~]# systemctl isolate recue.target

切換緊急（emergency）模式

緊急模式是最小化的系統環境，相比救援模式，它所提供的服務就更少了，僅用於當進入救援模式都失敗的時候。

緊急模式中，僅以唯讀的方式掛載根檔案系統，其他的所有本地檔案系統均不掛載，不會啟用網路服務，只啟動少許基本服務，需要root密碼。

同樣也支援isoloate切換方式和--no-walls選項。同樣會退出Xshell的終端，僅在VMware控制台允許登入。因此就不截圖了，貼命令即可。

~]# systemctl emergency
~]# systemctl emergency --no-walls
~]# systemctl isolate emergency.target

電源管理

在systemd中使用systemctl統一了電源管理，新舊命令對照表如下：

關機

在Linux中，關閉系統指的是halt，它會停止所有的進程以及CPU，但是並沒有關閉掉電源。而poweroff則比較接近於我們所理解的關機。

如果在VMware中halt了一個系統，那麼它會提示你需要手工關閉計算機的電源才可完成關機。而poweroff則不用。

因此在Linux環境下的關機，應該是使用poweroff來取代halt。

正確關機：

~]# systemctl poweroff

同樣，關機命令會向系統中的使用者傳送訊息，支援--no-wall選項不傳送訊息。

~]# systemctl poweroff --no-all

關機也可以通過shutdown命令。雖然該命令也會呼叫systemctl來完成關機，但是它支援延時關機和取消延時關機。

~]# shutdown --poweroff hh:mm
~]# shutdown --halt +m
~]# shutdown -c

時間的引數，可以修改為now，等同於+0，表示立即關機。

重新啟動

~]# systemctl reboot
~]# systemctl reboot --no-wall

懸掛和休眠

懸掛（suspend）指的是將系統的執行狀態儲存在記憶體中同時伴隨記憶體模組異常，並關閉機器中的大部分裝置。當使用者回到計算機面前時，可以從記憶體中恢復。由於是從記憶體中恢復並且避免了再一次引導系統，因此它的恢復速度比休眠（hibernation）要快。

如果在懸掛期間電源出現故障，那麼系統的狀態就會丟失了。

~]# systemctl suspend

休眠（hibernate）和懸掛的作用相似，都是儲存系統的狀態避免了再次重新引導系統，區別在於休眠是將系統的狀態儲存在磁碟中。因此其恢復系統的速度較慢。

~]# systemctl hibernate

還有一個休眠並懸掛系統。

~]# systemctl hybrid-sleep

感覺作為運維，休眠和懸掛應該是不怎麼會在伺服器上所使用的，因此了解下常見的關機和重新啟動操作即可。

建立和修改unit檔案

建立和修改unit檔案是理解systemd工作的重點和難點，對於服務的開發人員來說，應該是必備的技能。對於我目前的運維階段來說，只要達到會看即可，因此這裡先暫時留白，感興趣的可以直接看開頭參考資料中的紅帽文件。

Unit檔案存在於文章開頭處提到的三個目錄，其中“/etc/systemd/system/”目錄是留給管理員自定義的，因此我們自定義的unit檔案建議放該目錄下。

Unit檔案的檔名：

unit_name.type_extension

unit名和型別都是可替換的，合在一起叫做完整（full）的unit檔名。

例如sshd有兩個常見的unit檔案：sshd.service和sshd.socket。

如果我們想對一個unit做選項補充的話，可以新增一個“.d”目錄並在其下建立補充的組態檔。例如當我們想為sshd.service增加自定義的設定選項時，可以建立sshd.service.d/custom.conf組態檔。詳見文件。

另外，還可以存在“sshd.service.wants/”和“sshd.service.requires/”目錄，這些目錄下都是字元連結檔案，連結到其他的unit檔案，以此來決定sshd.service的依賴關係。字元連結會自動產生，也可人為建立。詳見文件。

了解unit檔案的結構

Unit檔案由典型的三部分構成：

• [Unit]：包含通用的選項，不受unit型別所影響。這部分主要提供了unit的簡單描述資訊，指定其行為，定義其依賴關係。
• [unit type]：這部分的選項，是和unit型別相關的。即如果是.service類的unit，就有其相關的特定選項。
• [Install]：在通過systemctl enable或者disable的時候，所涉及到的選項。

[Unit]和[Install]的選項的完整參考手冊，可見systemd.unit(5)；[unit type]的選項，則需要根據unit的型別來確定。可通過以下命令查詢對應的man手冊。

~]# man -k systemd
...
systemd.scope (5)    - Scope unit configuration
systemd.service (5)  - Service unit configuration
systemd.slice (5)    - Slice unit configuration
systemd.snapshot (5) - Snapshot unit configuration
systemd.socket (5)   - Socket unit configuration
...
systemd.swap (5)     - Swap unit configuration
systemd.target (5)   - Target unit configuration
...

當編輯或者新建了unit的檔案，需要使用該命令過載systemd，使其知曉。

~]# systemctl daemon-reload

總結

最後對於unit檔案的具體描述比較少，在初級運維的時候可能就夠用了。但是在慢慢深入後，對於系統的排錯或者需要開發服務的時候，就需要來了解這塊的內容了，到時候若有遇到再來補充。