在CentOS 7及以上版本中，systemd已经完全替代了传统的SysVinit，成为系统服务管理的核心。要做好CentOS安全加固，核心手段之一就是通过systemd服务单元（unit）中的安全限制指令和资源控制组（cgroup）来约束每一个服务的权限范围、资源使用和行为边界。简单来说，你需要在每个.service文件的[Service]段落中配置ProtectSystem、ProtectHome、PrivateTmp、CapabilityBoundingSet、MemoryLimit、CPUQuota等指令，再配合cgroup的层级管理，把每个服务"关进笼子"里运行，防止一个服务被攻破后横向扩散到整个系统。
为什么systemd安全限制比传统方式更有效
传统的Linux安全加固依赖SELinux策略、iptables防火墙和文件权限设置，这些手段虽然有效但粒度较粗。systemd的安全限制指令可以精确到每个服务进程级别，直接在内核层面通过cgroup和namespace机制实施隔离。比如ProtectSystem=strict可以让服务只能看到只读的系统目录，ProtectKernelTunables=yes可以禁止服务修改内核参数，NoNewPrivileges=yes可以阻止进程通过execve获得新权限。这些限制在服务启动时就生效，不需要额外的监控进程，性能开销极低。
systemd服务单元中的核心安全限制指令详解
在CentOS的/etc/systemd/system/或/usr/lib/systemd/system/目录下，每个.service文件都可以添加安全相关的配置。以下是最关键的几类指令：
第一类是文件系统隔离指令。ProtectSystem=full表示服务只能看到/usr、/boot、/efi等系统目录为只读，/etc也是只读，但可以写入/tmp和/var下属于自己的目录。ProtectSystem=strict则更加严格，/tmp和/var也变成只读。ProtectHome=yes让服务的home目录完全不可见。PrivateTmp=yes为服务创建独立的/tmp命名空间，服务之间互不干扰。
[Service] ProtectSystem=strict ProtectHome=yes PrivateTmp=yes ProtectKernelTunables=yes ProtectKernelModules=yes ProtectControlGroups=yes NoNewPrivileges=yes
第二类是权限与能力限制。CapabilityBoundingSet=定义服务能使用的Linux能力集，默认情况下systemd已经把大部分能力去掉了，但你可以进一步收紧。比如一个Web服务器不需要CAP_NET_RAW，就显式设置为空。AmbientCapabilities=则用于继承的能力，通常设为空。User=和Group=指定服务以非root用户运行，这是最基本也是最重要的安全实践。
[Service] User=nginx Group=nginx CapabilityBoundingSet= AmbientCapabilities= NoNewPrivileges=yes
第三类是网络与设备访问限制。PrivateNetwork=yes让服务拥有独立的网络命名空间，只能看到lo回环接口。PrivateDevices=yes阻止服务访问物理设备。RestrictRealtime=yes禁止使用实时调度策略。RestrictSUIDSGID=yes阻止设置SUID和SGID位。这些指令组合起来，可以让一个服务几乎完全与宿主系统隔离。
资源控制组（cgroup）在systemd中的实际配置
systemd本身就深度集成了cgroup v2（CentOS 8默认使用cgroup v2，CentOS 7使用cgroup v1），每个服务单元自动被放入一个独立的cgroup层级中。你可以通过service文件直接控制资源上限，防止某个服务耗尽系统资源导致DoS。
MemoryMax=设置服务可使用的最大内存，比如MemoryMax=512M。CPUQuota=设置CPU时间占比，比如CPUQuota=50%表示最多使用半个CPU核心。TasksMax=限制服务可以创建的最大进程数，这对防止fork炸弹攻击非常有效。IOReadBandwidthMax=和IOWriteBandwidthMax=可以限制磁盘IO带宽。
[Service] MemoryMax=1G CPUQuota=40% TasksMax=200 IOReadBandwidthMax=/dev/sda 10M IOWriteBandwidthMax=/dev/sda 5M
需要注意的是，cgroup v1和v2的配置语法有所不同。CentOS 7上需要使用CPUShares、MemoryLimit等旧指令，而CentOS 8上统一使用上述新语法。如果你的系统是CentOS 7，建议升级到CentOS 8或者Rocky Linux 8/9，因为cgroup v2的资源隔离更加精细和统一。
实战：为常见服务编写安全加固的unit文件
以Nginx为例，创建一个安全加固版本的/etc/systemd/system/nginx.service.d/override.conf文件（使用drop-in方式覆盖默认配置，不直接修改原始文件）：
[Service] ProtectSystem=strict ProtectHome=yes PrivateTmp=yes PrivateDevices=yes ProtectKernelTunables=yes ProtectKernelModules=yes ProtectControlGroups=yes NoNewPrivileges=yes User=nginx Group=nginx CapabilityBoundingSet= AmbientCapabilities= MemoryMax=2G CPUQuota=60% TasksMax=500 RestrictRealtime=yes RestrictSUIDSGID=yes
对于数据库服务如MySQL/MariaDB，因为它需要访问数据目录和特定设备，配置要适当放宽，但核心安全限制不能丢：
[Service] ProtectSystem=full ProtectHome=yes PrivateTmp=yes NoNewPrivileges=yes User=mysql Group=mysql CapabilityBoundingSet=CAP_DAC_OVERRIDE CAP_SETGID CAP_SETUID MemoryMax=4G CPUQuota=80% TasksMax=1000
如何验证和排查安全限制是否生效
配置完成后，使用systemctl daemon-reload重新加载配置，然后systemctl restart nginx重启服务。验证方式有几种：第一，用systemctl show nginx查看服务的实际运行参数，所有安全限制都会显示出来；第二，用cat /proc/$(pidof nginx)/status查看进程的CapEff（有效能力集），确认不需要的能力已经被去除；第三，用ls -la /proc/$(pidof nginx)/root查看服务的根目录视图，确认文件系统隔离生效；第四，通过systemd-cgls命令查看cgroup层级结构和资源使用情况。
# 查看服务安全参数 systemctl show nginx | grep -i protect # 查看进程能力 cat /proc/$(pidof nginx)/status | grep Cap # 查看cgroup资源使用 systemd-cgls # 查看服务根目录视图 ls -la /proc/$(pidof nginx)/root
systemd安全限制的局限性与补充手段
虽然systemd的安全限制非常强大，但它不是万能的。首先，它只能限制服务启动后的行为，如果服务本身存在漏洞被利用来执行任意代码，限制指令可能被绕过（比如通过已有的文件描述符）。其次，systemd不负责网络层面的访问控制，你仍然需要firewalld或nftables来限制端口和IP访问。第三，对于需要特权操作的服务（如需要绑定1024以下端口的服务），你需要用AmbientCapabilities=CAP_NET_BIND_SERVICE来赋予最小必要权限，而不是直接用root运行。
建议将systemd安全限制与SELinux enforcing模式、firewalld白名单策略、定期安全审计日志（通过journalctl -u nginx查看服务日志）结合使用，形成纵深防御体系。另外，CentOS已经停止维护，生产环境建议迁移到Rocky Linux或AlmaLinux，它们与RHEL兼容且持续更新，systemd版本更高，安全特性更完善。
总结：systemd安全加固的核心原则
做好CentOS安全中systemd服务单元的安全限制，记住三个原则：最小权限原则——每个服务只给它必须的权限和资源；默认拒绝原则——能关的都关，需要的再逐一开放；纵深防御原则——不依赖单一手段，systemd限制加SELinux加防火墙加审计日志多层叠加。把这些做到位，即使单个服务被攻破，攻击者也很难在系统中横向移动或造成资源耗尽，这就是systemd安全限制与cgroup资源控制的真正价值所在。
