Sterowanie usługami systemd i pisanie plików jednostek

systemd to system init i menedżer usług używany przez większość współczesnych dystrybucji Linuksa. Odpowiada za uruchamianie, zatrzymywanie i zarządzanie usługami systemowymi, a także za obsługę sekwencji rozruchu i stanu systemu.

Podstawowym narzędziem do pracy z systemd jest systemctl. Za jego pomocą mogą Państwo:

• uruchamiać i zatrzymywać usługi
• włączać lub wyłączać automatyczne uruchamianie usług podczas rozruchu
• sprawdzać stan usług i dzienniki
• przeładowywać konfigurację bez ponownego uruchamiania usługi

Wszystkie usługi zarządzane przez systemd są definiowane przez pliki jednostek — deklaratywne pliki konfiguracyjne przechowywane w katalogu /etc/systemd/system/ (dla całego systemu) lub ~/.config/systemd/user/ (dla konkretnego użytkownika).

Oto najczęściej używane polecenia systemctl do codziennego zarządzania usługami. Każde polecenie działa na nazwie jednostki, takiej jak nginx.service lub po prostu nginx.

• systemctl start <unit> — natychmiast uruchamia usługę
• systemctl stop <unit> — zatrzymuje działającą usługę
• systemctl restart <unit> — zatrzymuje, a następnie uruchamia usługę (pełny restart)
• systemctl reload <unit> — wysyła sygnał SIGHUP, aby przeładować konfigurację bez zatrzymywania usługi
• systemctl enable <unit> — tworzy dowiązania symboliczne, aby jednostka uruchamiała się podczas startu systemu
• systemctl disable <unit> — usuwa te dowiązania symboliczne
• systemctl status <unit> — wyświetla stan, PID i ostatnie wiersze dziennika

systemctl status wyświetla szczegółowy obraz stanu jednostki. Zrozumienie tych informacji jest niezbędne do szybkiego diagnozowania problemów.

• Loaded: ścieżka do pliku jednostki oraz informacja, czy jest ona włączona podczas uruchamiania systemu
• Active: bieżący stan — active (running), inactive (dead), failed
• Main PID: identyfikator procesu głównego procesu usługi
• CGroup: wszystkie procesy potomne należące do usługi
• Log lines: najnowsze wpisy dziennika dotyczące tej jednostki

Można również sprawdzić tylko stan aktywności za pomocą systemctl is-active, a stan włączenia za pomocą systemctl is-enabled. Polecenia te idealnie nadają się do użycia w skryptach.

Podczas zarządzania wieloma usługami potrzebne są wydajne sposoby wyświetlania i filtrowania jednostek. systemctl list-units pokazuje wszystkie aktualnie załadowane jednostki, natomiast list-unit-files pokazuje wszystkie zainstalowane pliki jednostek oraz ich stan włączenia.

Przydatne opcje filtrowania:

• --type=service — pokazuje tylko jednostki usług
• --state=failed — pokazuje tylko jednostki, które zakończyły się niepowodzeniem
• --state=active — pokazuje tylko aktywne jednostki
• --all — uwzględnia na liście nieaktywne jednostki

Połączenie tych filtrów z grep pozwala tworzyć zaawansowane potoki inspekcji w skryptach konserwacyjnych.

Plik jednostki usługi to zwykły plik tekstowy w stylu INI, złożony z sekcji. Każda sekcja steruje innym aspektem cyklu życia jednostki.

• [Unit] — metadane: opis i zależności kolejności uruchamiania (After=, Requires=, Wants=)
• [Service] — sposób uruchamiania i zatrzymywania procesu: ExecStart, ExecStop, Restart, User, WorkingDirectory
• [Install] — określa, kiedy jednostka powinna zostać włączona: WantedBy=multi-user.target oznacza aktywację podczas standardowego uruchamiania systemu w trybie wielu użytkowników

Po umieszczeniu lub edycji pliku jednostki w katalogu /etc/systemd/system/ należy uruchomić systemctl daemon-reload, aby systemd wczytał zmiany.

Utwórzmy prosty plik jednostki usługi dla niestandardowego skryptu serwera HTTP w języku Python. Plik jednostki dokładnie określa systemd, jak zarządzać tym procesem, tak jak każdą inną usługą systemową.

Najważniejsze dyrektywy [Service] użyte w tym przykładzie:

• Type=simple — systemd traktuje proces ExecStart jako proces główny
• User=www-data — uruchamia proces na koncie innym niż root, co zwiększa bezpieczeństwo
• WorkingDirectory — ustawia katalog roboczy procesu
• Restart=on-failure — automatycznie uruchamia proces ponownie, jeśli zakończy się kodem różnym od zera
• RestartSec=5 — odczekuje 5 sekund między próbami ponownego uruchomienia

Dyrektywa Type= w sekcji [Service] informuje systemd, jak rozpoznać, że usługa zakończyła uruchamianie. Wybór niewłaściwego typu jest częstą przyczyną błędów związanych z kolejnością uruchamiania.

• Type=simple — domyślny; systemd uznaje usługę za uruchomioną, gdy tylko zostanie uruchomiony proces ExecStart. Nie jest wymagany sygnał gotowości.
• Type=forking — proces ExecStart tworzy proces potomny i kończy działanie, a właściwy demon działa jako proces potomny. Należy użyć PIDFile=, aby systemd mógł go śledzić.
• Type=notify — proces wysyła sd_notify(READY=1), gdy jest rzeczywiście gotowy. Jest to najbardziej niezawodne rozwiązanie w przypadku złożonych demonów.
• Type=oneshot — uruchamia się raz i kończy działanie; kolejne jednostki czekają na jego zakończenie. Idealne rozwiązanie dla skryptów konfiguracyjnych.
• Type=idle — działa podobnie jak simple, ale wykonanie jest opóźniane do czasu zakończenia wszystkich aktywnych zadań.

Pliki jednostek usług obsługują kilka dyrektyw służących do przekazywania zmiennych środowiskowych i stosowania ograniczeń bezpieczeństwa — oba te aspekty są istotne w systemach produkcyjnych.

Dyrektywy środowiskowe:

• Environment="KEY=value" — ustawia pojedynczą zmienną bezpośrednio w konfiguracji
• EnvironmentFile=/etc/myapp/env — wczytuje zmienne z pliku (po jednej parze KEY=value w każdym wierszu)

Typowe dyrektywy wzmacniania zabezpieczeń:

• NoNewPrivileges=true — uniemożliwia procesowi uzyskanie dodatkowych uprawnień za pomocą setuid
• ProtectSystem=strict — montuje katalogi /usr, /boot i /etc w trybie tylko do odczytu
• PrivateTmp=true — przydziela usłudze własny, odizolowany katalog /tmp
• CapabilityBoundingSet= — usuwa wszystkie uprawnienia systemu Linux

Timer systemd to jednostka, która zgodnie z harmonogramem aktywuje inną jednostkę (zwykle .service). Zastępuje tradycyjne zadania cron bardziej zintegrowanym, rejestrowanym w dzienniku i łatwiejszym do kontrolowania mechanizmem.

Każda jednostka timera (foo.timer) jest powiązana z jednostką usługi o tej samej nazwie bazowej (foo.service), która wykonuje właściwą pracę. Należy włączyć i uruchomić timer, a nie usługę bezpośrednio.

Typy timerów:

• Timery czasu rzeczywistego (kalendarzowe) — uruchamiają się o określonych porach zegarowych na podstawie wyrażeń OnCalendar=, takich jak daily, weekly lub Mon *-*-* 02:00:00
• Timery monotoniczne — uruchamiają się względem zdarzenia systemowego na podstawie OnBootSec=, OnActiveSec= lub OnUnitActiveSec=

Utwórzmy kompletną parę timera i usługi, która codziennie o 02:00 uruchamia skrypt kopii zapasowej. Należy zauważyć, że sekcja [Timer] znajduje się we własnym pliku .timer, natomiast wykonywana praca jest zdefiniowana w powiązanym pliku .service.

Najważniejsze dyrektywy [Timer]:

• OnCalendar= — wyrażenie kalendarzowe określające harmonogram
• Persistent=true — jeśli system był wyłączony w chwili planowanego uruchomienia timera, uruchamia go natychmiast przy następnym starcie systemu
• RandomizedDelaySec= — dodaje losowe opóźnienie o długości do N sekund, aby zapobiec jednoczesnemu obciążeniu wielu hostów korzystających z tego samego harmonogramu
• Unit= — jawnie wskazuje docelową jednostkę (opcjonalne, jeśli nazwy są zgodne)

systemd kieruje wszystkie dane wyjściowe usług do dziennika, który można przeszukiwać za pomocą journalctl. Centralizuje to dzienniki wszystkich jednostek w jednym, przeszukiwalnym magazynie.

Najważniejsze opcje journalctl przy diagnozowaniu problemów z usługami:

• -u <unit> — filtruje według nazwy jednostki
• -f — śledzi dziennik w czasie rzeczywistym (jak tail -f)
• -n 50 — wyświetla tylko ostatnie 50 wierszy
• --since "1 hour ago" — ogranicza wyniki według czasu
• -p err — wyświetla tylko wpisy o priorytecie błędu lub wyższym
• -b — wyświetla tylko dzienniki z bieżącego uruchomienia systemu

Gdy jednostka nie uruchamia się, najpierw należy wykonać journalctl -u <unit> -n 30 --no-pager, a następnie systemctl status <unit>, aby zebrać kontekst ostatniego błędu.

Sprawdź swoją wiedzę na temat konfiguracji jednostek usług i timerów systemd.

W tej lekcji poznali Państwo najważniejsze koncepcje zarządzania usługami systemd oraz tworzenia plików jednostek na poziomie profesjonalnym. Oto podsumowanie omówionych zagadnień:

• Podstawy systemctl — start, stop, restart, reload, enable, disable, status, is-active i is-enabled do wykonywania przyjaznych skryptom kontroli
• Wyświetlanie i filtrowanie — list-units i list-unit-files z opcjami --type i --state do wyodrębniania usług, które zakończyły się niepowodzeniem, lub usług włączonych
• Budowa pliku jednostki — trzy sekcje: [Unit], [Service] i [Install] oraz ich najważniejsze dyrektywy
• Typy usług — simple, forking, notify, oneshot oraz sytuacje, w których należy użyć każdego z nich
• Środowisko i bezpieczeństwo — EnvironmentFile, NoNewPrivileges, ProtectSystem i PrivateTmp do wzmacniania zabezpieczeń demonów
• Jednostki timerów — łączenie plików .timer i .service, wyrażenia OnCalendar oraz nadrabianie pominiętych uruchomień dzięki Persistent
• Journalctl — filtrowanie według jednostki, czasu, uruchomienia systemu i priorytetu w celu sprawnego diagnozowania awarii

Dzięki tym umiejętnościom mogą Państwo zarządzać dowolną usługą systemową, niezawodnie planować cykliczne zadania oraz tworzyć gotowe do użycia w środowisku produkcyjnym pliki jednostek dla własnych demonów.