在linux中，让systemd服务以指定非root用户运行需在[service]节设置user=和group=指令，确保execstart路径及工作目录等权限适配目标用户，并移除rootdirectory=等冲突配置。
在 Linux 中，让 systemd 服务以指定非 root 用户运行，核心是通过 User= 指令明确声明执行身份，配合合理的权限与路径配置。这不仅是安全最佳实践，也能避免因权限过高引发的意外行为或审计风险。
修改服务文件，指定 User 和 Group
编辑对应的服务 unit 文件（通常位于 /etc/systemd/system/ 或 /usr/lib/systemd/system/），在 [Service] 小节中添加：
-
User=myappuser：指定服务主进程以该用户身份启动（必须存在且有登录 shell 或至少能切换上下文） -
Group=myappgroup：可选，若需额外组权限（如访问特定设备或共享目录） - 确保
ExecStart所指向的二进制或脚本对目标用户可执行，且其工作目录、配置文件、日志路径等均对该用户可读写
处理权限依赖与环境隔离
仅设 User= 不足以保证服务稳定运行，还需注意：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 移除或注释掉可能冲突的指令，例如
RootDirectory=、DynamicUser=yes（除非你明确需要动态用户机制） - 若服务需访问网络端口 setcap 'cap_net_bind_service+ep' /path/to/binary
- 使用
WorkingDirectory=显式设置工作路径，并确认该路径属目标用户所有 - 避免在
ExecStart中使用su或sudo切换用户——systemd 本身已支持原生用户切换，额外封装反而破坏生命周期管理
重载配置并验证运行身份
完成修改后，按顺序执行：
-
sudo systemctl daemon-reload—— 通知 systemd 重新解析 unit 文件 sudo systemctl restart your-service.service- 检查是否生效：
ps -eo pid,user,comm,args | grep your-service或systemctl status your-service.service，观察输出中的 USER 字段和实际进程 UID - 确认日志归属：
journalctl -u your-service.service -o json | jq '.UID'（若有 JSON 日志支持）
补充说明：User= 与 systemd --user 的区别
User= 是系统级 service 中的字段，用于降权运行某个全局服务；而 systemctl --user 是另一套完全独立的用户实例机制，适用于普通用户自主管理个人长期任务（如定时同步、本地 API）。两者不混用：系统服务不能靠 --user 启动，用户服务也不能靠 User= 塞进系统目录里运行。
