在CentOS 7系统中，资源限制是一项至关重要的管理机制，它确保了系统中的各个用户和进程能够公平、稳定地共享系统资源，防止单个进程或用户因过度消耗资源而导致整个系统崩溃或性能下降，这些限制涵盖了文件句柄、进程数量、内存使用、CPU时间等多个维度，理解和正确配置这些限制，是保障服务器健康运行的基石，尤其是对于运行高并发Web服务、大型数据库等应用的环境。
初识 ulimit：临时限制的命令行工具
ulimit 是Linux shell内建的一个命令，用于控制shell启动的进程所能使用的资源，它是最直接、最快速查看和临时修改资源限制的方式。
要查看当前用户的所有资源限制，可以使用 -a 参数：
ulimit -a
输出结果会列出一系列限制项及其当前值，
core file size：core dump文件的大小。open files：单个进程可以打开的最大文件描述符数量。max user processes：单个用户可以创建的最大进程数。virtual memory：进程可用的最大虚拟内存。
ulimit 设置的限制仅在当前shell及其子进程中有效，一旦退出登录或关闭终端，设置就会失效，要临时将当前shell可打开的文件描述符数量增加到65536,可以执行：
ulimit -n 65536
限制分为软限制和硬限制，软限制是当前生效的限制值，普通用户可以自行调高，但不能超过硬限制，硬限制是资源上限的“天花板”，只有root用户才能提高，在ulimit命令中，-S表示操作软限制，-H表示操作硬限制。
持久化配置：/etc/security/limits.conf
为了使资源限制在用户重新登录后依然生效，需要通过修改配置文件来实现。/etc/security/limits.conf 是PAM（Pluggable Authentication Modules）模块中的一个核心配置文件,用于设置用户登录时的资源限制。
该文件的语法格式非常清晰，每一行代表一条规则，由四个字段组成,以空格或制表符分隔：
<domain> <type> <item> <value><domain>：限制的应用对象，可以是用户名、用户组名（格式为@groupname），或者通配符 （表示所有用户）。<type>：限制的类型。soft表示软限制，hard表示硬限制， 表示同时设置软限制和硬限制。<item>：限制的资源项，如nofile（文件描述符）、nproc（进程数）、stack（栈大小）等。<value>：限制的具体数值，可以是数字，也可以是unlimited（表示无限制）。
要为所有用户设置文件描述符的软限制和硬限制均为65536,可以在文件中添加以下两行：
* soft nofile 65536
* hard nofile 65536若要为 webserver 用户组设置最大进程数为32768,可以添加：
@webserver hard nproc 32768重要提示：修改 /etc/security/limits.conf 文件后，用户需要完全退出当前登录会话并重新登录,设置才能生效。
Systemd 服务的特殊限制
CentOS 7 全面采用了 systemd 作为初始化和服务管理器，通过 systemd 启动的服务，其资源限制并不完全遵循 /etc/security/limits.conf 的配置，这是因为 systemd 有自己独立的资源控制机制（通过cgroups实现），对于Nginx、MySQL、Redis等以服务形式运行的应用，必须通过 systemd 的单元文件来配置其资源限制。
推荐的方式是使用 systemctl edit 命令来创建覆盖配置，而不是直接修改原始的单元文件，要为 nginx.service 增加文件描述符限制,可以执行：
systemctl edit nginx.service
这会打开一个空的编辑器窗口,在其中添加以下内容：
[Service] LimitNOFILE=65535
保存并退出后，systemd 会在 /etc/systemd/system/nginx.service.d/ 目录下创建一个 override.conf 文件,执行以下命令使配置生效：
systemctl daemon-reload systemctl restart nginx
在 systemd 中，限制项的命名与 limits.conf 略有不同，nofile 对应 LimitNOFILE，nproc 对应 LimitNPROC。
常见限制项及应用场景
为了更直观地理解,下表列出了一些常见的资源限制项及其用途：
| 限制项 | 描述 | 常见应用场景 |
|---|---|---|
nofile |
单个进程可打开的最大文件描述符数量 | 高并发Web服务器（如Nginx）、消息队列、数据库等需要处理大量网络连接或文件的场景。 |
nproc |
单个用户可创建的最大进程数 | 防止用户或恶意软件创建过多进程导致系统资源耗尽，多线程应用服务器可能需要调高此值。 |
stack |
进程栈的最大大小（KB） | 某些应用程序或编程语言（如Java）的线程可能需要较大的栈空间。 |
cpu |
进程可占用的最大CPU时间（分钟） | 限制计算密集型任务的运行时间，防止其独占CPU资源。 |
as |
进程可用的最大虚拟内存空间（KB） | 防止内存泄漏的程序无限消耗系统虚拟内存。 |
最佳实践
- 按需调整：不要盲目地将所有限制值设为
unlimited或一个非常大的数字,应根据应用的实际需求和硬件资源进行合理配置。 - 软硬结合：合理设置软限制和硬限制，普通用户可以在软限制范围内调整，为应用提供一定的灵活性；硬限制则作为最终的安全防线。
- 明确区分环境：区分通过SSH登录的用户环境和通过
systemd启动的服务环境,使用正确的配置方法。 - 验证配置：修改配置后，应通过
ulimit -a（对用户）或查看/proc/<pid>/limits文件（对进程）来验证设置是否已正确应用。
CentOS 7的资源限制是一个多层次、多维度的体系，从命令行的 ulimit，到用户级别的 limits.conf，再到服务级别的 systemd 单元配置，每一环都不可或缺，只有深入理解它们的工作原理和适用场景，才能有效地管理服务器资源，确保系统的稳定、高效和安全运行。
相关问答FAQs
Q1: 我已经修改了 /etc/security/limits.conf 文件，增加了 nofile 的值，但为什么我通过 systemctl 启动的服务（如Redis）所受的限制没有改变？
A: 这是一个非常常见的问题，根本原因在于，通过 systemd 启动的服务并不通过传统的登录会话，因此不会加载PAM模块，也就不会读取 /etc/security/limits.conf 的配置。systemd 拥有自己独立的、更强大的资源管理机制，要为这些服务设置资源限制，您必须修改它们对应的 systemd 单元文件，最佳实践是使用 systemctl edit <service_name> 命令创建一个覆盖配置片段（在 /etc/systemd/system/<service_name>.service.d/override.conf），在其中添加 LimitNOFILE=... 这样的指令，然后执行 systemctl daemon-reload 和 systemctl restart <service_name> 使其生效。
Q2: 软限制和硬限制之间到底有什么区别？我应该怎么设置它们？
A: 软限制是内核对当前进程强制执行的限制值，普通用户可以通过 ulimit 命令将软限制调高，但调高的上限不能超过硬限制，硬限制是软限制可以设定的最高上限，只有root用户才有权提高它，这种设计提供了一种灵活性：系统管理员可以为用户或应用设定一个安全的“天花板”（硬限制），而普通用户或应用本身可以根据需要，在这个天花板下动态调整其资源使用量（软限制），在配置时，通常建议将硬限制设置为一个系统资源和应用所能承受的安全最大值，然后将软限制设置为一个更符合日常操作需求的、相对保守的值，设置 * soft nofile 4096 和 * hard nofile 65536，这样普通用户默认最多打开4096个文件，但在需要时可以自行提升到65536，如果希望设置后无需用户手动调整,也可以将软限制和硬限制设置为相同的值。