非root用户默认无法直接运行systemctl命令管理系统服务，需通过修改Polkit策略文件或使用sudoers细粒度授权等方式实现；全局修改org.freedesktop.systemd1.policy可使普通用户免密操作所有服务，但存在安全风险，生产环境应优先采用sudoers授权或systemctl --user方案。
非 root 用户默认无法直接运行 systemctl start/stop/status 系统级服务，因为 systemd 通过 PolicyKit（polkit）进行权限仲裁。在 CentOS 7、RHEL 7 及部分较老的 systemd 发行版中，可通过修改 polkit 策略文件，让普通用户无需密码即可管理指定服务。
修改 org.freedesktop.systemd1.policy 策略文件
PolicyKit 使用 XML 格式的策略定义，默认策略文件位于 /usr/share/polkit-1/actions/org.freedesktop.systemd1.policy。该文件控制谁有权执行哪些 systemd 操作。
- 用 root 权限编辑该文件：
sudo vi /usr/share/polkit-1/actions/org.freedesktop.systemd1.policy - 定位到
- 将其中三处
auth_admin替换为yes，例如：
<defaults><allow_any>yes</allow_any><allow_inactive>yes</allow_inactive><allow_active>yes</allow_active></defaults>
⚠️ 注意：此修改影响所有普通用户对所有系统服务的管理权限，不区分服务名，属于全局放宽策略。生产环境慎用，仅建议用于测试或受控内网环境。
重启 polkit 使配置生效
策略文件修改后需重启 polkit 服务才能加载新规则：
Content Management Systems
下载
跨平台内容管理系统构建与修改工作流（WordPress、Shopify、Wix、Squarespace、Drupal、WooCommerce、Joomla、HubSpot CMS Hub、Web…）
sudo systemctl restart polkit- 验证是否生效：切换到普通用户，执行
systemctl stop keepalived（或其他已安装服务），不再提示输入 root 密码即表示成功
限制到特定服务（进阶做法）
上述方式是全局放权。若需只允许操作某几个服务（如 nginx、redis），推荐使用更安全的替代方案：
- 通过
sudoers细粒度授权：用visudo添加类似行：alice ALL=(root) NOPASSWD: /bin/systemctl start nginx, /bin/systemctl stop nginx, /bin/systemctl status nginx - 配合
systemctl --user管理用户级服务：将服务定义在~/.config/systemd/user/下，启用 lingering 后，普通用户可完全自主管理，且与系统服务隔离
PolicyKit 配置虽直接，但缺乏服务粒度控制。实际部署中，优先考虑 sudoers 或 user session 方式，兼顾安全性与可维护性。
