SUDO,PAM配置规范说明

sudo

sudo简介

说明

 sudo 即superuser do，允许系统管理员让普通用户执行一些或者全部的root命令的一个工具，如mount、reboot、shutdown、init、halt、user等等。这样不仅减少了root用户的登录 和管理时间，同样也提高了安全性。
备注：Ubuntu安装系统，默认禁用root账号而第一个普通用户就配置好sudo权限，centos默认启用root账号，因此普通用户需自行配置sudo权限

文件相关配置

sudo配置文件
```
 /etc/sudoers
```

通配符

 ? 任意单一字符
* 匹配任意长度字符
[wxc] 匹配其中一个字符
[!wxc] 除了这三个字符的其它字符
\x 转义
[[alpha]] 字母

格式

格式定义
```
 root ALL=(ALL) ALL
```

格式说明

 user: 运行命令者的身份
host: 通过哪些主机
(runas)：以哪个用户的身份
command: 运行哪些命令

格式别名

 User和runas:
    username
    #uid
    %group_name
    %#gid
    user_alias|runas_alias
host:
    ip或hostname
    network(/netmask)
    host_alias
command:
    command name
    directory
    sudoedit
    Cmnd_Alias

sudo别名类型

 User_Alias
Runas_Alias
Host_Alias
Cmnd_Alias

别名格式
```
 [A-Z]([A-Z][0-9]_)*
```

案例

案例1:用户命令授权，配置visudo /etc/sudoers

 授权mount命令挂载:
zxl  ALL=(root)  /usr/bin/mount /dev/cdrom /mnt/,/usr/bin/umount /mnt
 
获取root所有权限
zxl  ALL=(root)       ALL
 
对授权的命令进行取反
zxl  ALL=(ALL)       ALL,!/usr/bin/vim,!/usr/bin/su

案例2：别名授权，配置visudo /etc/sudoers

 #用户别名定义
User_Alias SYSADER=wang,mage,%admins
User_Alias DISKADER=tom
 
#主机别名定义
Host_Alias SERS=www.magedu.com,172.16.0.0/24
 
#用户身份别名定义
Runas_Alias OP=root
 
#命令别名定义
Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod
Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk
Cmnd_Alias ADMINCMD = /usr/sbin/useradd，/usr/sbin/usermod,/usr/bin/passwd [azA-Z]*, !/usr/bin/passwd root
 
#别名运用方法root ALL=(ALL) ALL
SYSADER SERS= SYDCMD,DSKCMD
DISKADER ALL=(OP) DSKCMD
#ADMINCMD命令访问无需密码验证，/usr/sbin/userdel命令需要密码验证
ADMINUSER ALL=(root) NOPASSWD:ADMINCMD，PASSWD:/usr/sbin/userdel 
#wang用户只能再指定ip地址内使用root授权命令
wang 192.168.1.6,192.168.1.8=(root) /usr/sbin/,!/usr/sbin/useradd

PAM

pam简介

pam说明

 PAM(Pluggable Authentication Modules)即可插拔式认证模块，它是一种高效而且灵活便利的用户级别的认证方式，它也是当前Linux服务器普遍使用的认证方式。
在不同版本的Linux统中部署PAM认证是有所不同的。
它提供了对所有服务进行认证的中央机制，适用于login，远程登录（telnet,rlogin,fsh,ftp,点对点协议（PPP）），su等应用程序中。
系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略；应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( ))来实现对认证方法的调用；而PAM服务模块的开发者则利用PAM SPI来编写模块（主要是引出一些函数pam_sm_xxxx( )供PAM接口库调用），将不同的认证机制加入到系统中；PAM接口库（libpam）则读取配置文件，将应用程序和相应的PAM服务模块联系起来

PAM框架结构如图所示
官网地址
```
 http://www.linux-pam.org/
```

帮助文档

 官方在线文档：http://www.linux-pam.org/Linux-PAM-html/
官方离线文档：http://www.linux-pam.org/documentation/

PAM工作原理

 PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so
PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib/security下)进行安全认证。

认证原理图如下图所示：

认证过程讲解

 1.使用者执行/usr/bin/passwd 程序，并输入密码
2.passwd开始调用PAM模块，PAM模块会搜寻passwd程序的PAM相关设置文件，这个设置文件一般是在/etc/pam.d/里边的与程序同名的文件，即PAM会搜寻/etc/pam.d/passwd此设置文件
3.经由/etc/pam.d/passwd设定文件的数据，取用PAM所提供的相关模块来进行验证
4.将验证结果回传给passwd这个程序，而passwd这个程序会根据PAM回传的结果决定下一个动作（重新输入密码或者通过验证）

PAM 配置文件格式说明

通用配置文件/etc/pam.conf格式,此格式不使用
```
 application type control module-path arguments
```
专用配置文件/etc/pam.d/ 格式
```
 type control module-path arguments
```
- application：指服务名，如：telnet、login、ftp等，服务名字“OTHER”代表所有没有在该文件中明确配置的其它服务
- type：指模块类型，即功能
- control ：PAM库该如何处理与该服务相关的PAM模块的成功或失败情况，一个关健词实现
- module-path：用来指明本模块对应的程序文件的路径名
- Arguments：用来传递给该模块的参数

模块类型

 [09:37:39 root@rocky8_12 ~]#vim /etc/pam.d/sshd 
	#type		#Control	#path
  1 #%PAM-1.0
  2 auth       substack     password-auth
  3 auth       include      postlogin
  4 account    required     pam_sepermit.so
  5 account    required     pam_nologin.so
  6 account    include      password-auth
  7 password   include      password-auth
  8 # pam_selinux.so close should be the first session rule
  9 session    required     pam_selinux.so close
 10 session    required     pam_loginuid.so
 11 # pam_selinux.so open should only be followed by sessions to be executed in the user context
 12 session    required     pam_selinux.so open env_params
 13 session    required     pam_namespace.so
 14 session    optional     pam_keyinit.so force revoke
 15 session    optional     pam_motd.so
 16 session    include      password-auth
 17 session    include      postlogin

module-type

Auth 账号的认证和授权
Account 帐户的有效性，与账号管理相关的非认证类的功能，如：用来限制/允许用户对某个服务的访问时间，限制用户的位置(例如：root用户只能从控制台登录)
Password 用户修改密码时密码复杂度检查机制等功能
Session 用户会话期间的控制，如：最多打开的文件数，最多的进程数等
-type 表示因为缺失而不能加载的模块将不记录到系统日志,对于那些不总是安装在系统上的模块有用

module-Control

required ：一票否决，表示本模块必须返回成功才能通过认证，但是如果该模块返回失败，失败结果也不会立即通知用户，而是要等到同一type中的所有模块全部执行完毕，再将失败结果返回给应用程序，即为必要条件
requisite ：一票否决，该模块必须返回成功才能通过认证，但是一旦该模块返回失败，将不再执行同一type内的任何模块，而是直接将控制权返回给应用程序。是一个必要条件
sufficient ：一票通过，表明本模块返回成功则通过身份认证的要求，不必再执行同一type内的其它模块，但如果本模块返回失败可忽略，即为充分条件，优先于前面的required和requisite
optional ：表明本模块是可选的，它的成功与否不会对身份认证起关键作用，其返回值一般被忽略
include：调用其他的配置文件中定义的配置信息

module-path

模块文件所在绝对路径：
模块文件所在相对路径：/lib64/security目录下的模块可使用相对路径，如：pam_shells.so、pam_limits.so
有些模块有自已的专有配置文件，在/etc/security/*.conf目录下

Arguments

debug ：该模块应当用syslog( )将调试信息写入到系统日志文件中
no_warn ：表明该模块不应把警告信息发送给应用程序
use_first_pass ：该模块不能提示用户输入密码，只能从前一个模块得到输入密码
try_first_pass ：该模块首先用前一个模块从用户得到密码，如果该密码验证不通过，再提示用户输入新密码
use_mapped_pass 该模块不能提示用户输入密码，而是使用映射过的密码
expose_account 允许该模块显示用户的帐号名等信息，一般只能在安全的环境下使用，因为泄漏用户名会对安全造成一定程度的威胁

执行过程总结概括

 程序调用 → pam配置文件:/etc/pam.d/  →  通过配置文件调用模块：/usr/lib64/security/  →  如果复杂模块会有专门配置文件进行配置：/etc/security/

模块使用案例

pam_nologin.so 模块

简介

 功能：如果/etc/nologin文件存在,将导致非root用户不能登陆,当该用户登陆时，会显示/etc/nologin文
件内容，并拒绝登陆

查看哪些程序使用nologin模块

 [15:24:54 root@rocky8_31 ~]#cd /etc/pam.d/
[15:26:24 root@rocky8_31 pam.d]#grep pam_nologin *
cockpit:account    required     pam_nologin.so
gdm-autologin:account    required    pam_nologin.so
gdm-fingerprint:account     required      pam_nologin.so
gdm-password:account     required      pam_nologin.so
gdm-pin:account     required      pam_nologin.so
gdm-smartcard:account     required      pam_nologin.so
login:account    required     pam_nologin.so
remote:account    required     pam_nologin.so
sshd:account    required     pam_nologin.so
vmtoolsd:account    required     pam_nologin.so

验证nologin模块功能

 [D:\~]$ ssh zxl@192.168.100.31
 
 
Connecting to 192.168.100.31:22...
Connection established.
To escape to local shell, press Ctrl+Alt+].
非root用户不能登录
 
Connection closing...Socket close.
 
Connection closed by foreign host.
 
Disconnected from remote host(192.168.100.31:22) at 15:32:32.
 
Type `help' to learn how to use Xshell prompt.
 
[D:\~]$ ssh root@192.168.100.31
 
 
Connecting to 192.168.100.31:22...
Connection established.
To escape to local shell, press Ctrl+Alt+].
 
非root用户不能登录
 
Activate the web console with: systemctl enable --now cockpit.socket
 
This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
To register this system, run: insights-client --register
 
Last login: Fri Sep 16 15:24:54 2022 from 192.168.100.1

pam_limits.so 模块

简介

 功能：在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用
内存空间

查看哪些程序使用limits模块

 [15:57:22 root@rocky8_31 ~]#grep  pam_limits /etc/pam.d/*
/etc/pam.d/fingerprint-auth:session     required                                     pam_limits.so
/etc/pam.d/password-auth:session     required                                     pam_limits.so
/etc/pam.d/runuser:session		required	pam_limits.so
/etc/pam.d/system-auth:session     required                                     pam_limits.so

验证limit模块功能

查看用户默认资源

 [16:08:43 root@rocky8_31 ~]#ulimit -a
core file size          (blocks, -c) 0
data seg size           (kbytes, -d) unlimited
scheduling priority             (-e) 0
file size               (blocks, -f) unlimited
pending signals                 (-i) 10972
max locked memory       (kbytes, -l) 64
max memory size         (kbytes, -m) unlimited
open files                      (-n) 1024
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 819200
real-time priority              (-r) 0
stack size              (kbytes, -s) 8192
cpu time               (seconds, -t) unlimited
max user processes              (-u) 10972
virtual memory          (kbytes, -v) unlimited
file locks                      (-x) unlimited

ulimit命令

说明

 ulimit是linux shell的内置命令，它具有一套参数集，用于对shell进程及其子进程进行资源限制。
ulimit的设定值是 per-process 的，也就是说，每个进程有自己的limits值。
使用ulimit进行修改，立即生效。
ulimit只影响shell进程及其子进程，用户登出后失效。
可以在profile中加入ulimit的设置，变相的做到永久生效。

命令参数

 -H 设置硬件资源限制.
-S 设置软件资源限制.
-a 显示当前所有的资源限制.
-c size:设置core文件的最大值.单位:blocks
-d size:设置数据段的最大值.单位:kbytes
-f size:设置创建文件的最大值.单位:blocks
-l size:设置在内存中锁定进程的最大值.单位:kbytes
-m size:设置可以使用的常驻内存的最大值.单位:kbytes
-n size:设置内核可以同时打开的文件描述符的最大值.单位:n
-p size:设置管道缓冲区的最大值.单位:kbytes
-s size:设置堆栈的最大值.单位:kbytes
-t size:设置CPU使用时间的最大上限.单位:seconds
-u size:最大用户进程数
-v size:设置虚拟内存的最大值.单位:kbytes
unlimited 是一个特殊值，用于表示不限制
#说明
查询时，若不加H或S参数，默认显示的是软限制
修改时，若不加H或S参数，两个参数一起改变

临时修改limit资源

 16:44:31 root@rocky8_31 ~]#ulimit -u
10972
You have new mail in /var/spool/mail/root
[17:03:59 root@rocky8_31 ~]#ulimit -u 5000
[17:04:28 root@rocky8_31 ~]#ulimit -u 
5000

永久修改limit资源

 [17:04:32 root@rocky8_31 ~]#vim /etc/security/limits.conf 
[17:06:35 root@rocky8_31 ~]#grep ^[*] /etc/security/limits.conf
*                soft    core            unlimited
*                hard    core            unlimited
*                soft    nproc           1000000
*                hard    nproc           1000000
*                soft    nofile          1000000
*                hard    nofile          1000000
*                soft    memlock         32000
*                hard    memlock         32000
*                soft    msgqueue        8192000
*                hard    msgqueue        8192000
#退出当前窗口重新登录
[17:07:46 root@rocky8_31 ~]#ulimit -a
core file size          (blocks, -c) unlimited
data seg size           (kbytes, -d) unlimited
scheduling priority             (-e) 0
file size               (blocks, -f) unlimited
pending signals                 (-i) 10972
max locked memory       (kbytes, -l) 32000
max memory size         (kbytes, -m) unlimited
open files                      (-n) 1000000
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 8192000
real-time priority              (-r) 0
stack size              (kbytes, -s) 8192
cpu time               (seconds, -t) unlimited
max user processes              (-u) 1000000
virtual memory          (kbytes, -v) unlimited
file locks                      (-x) unlimited

配置文件

pam_limits的设定值是基于 per-process 的

 /etc/security/limits.conf
/etc/security/limits.d/*.conf

文件格式

 #每行一个定义
<domain> <type> <item> <value>

格式说明：

 Username 单个用户
@group 组内所有用户
* 所有用户
% 仅用于限制 maxlogins limit , 可以使用 %group 语法. 只用 % 相当于 * 对所有用户
maxsyslogins limit限制. %group 表示限制此组中的所有用户总的最大登录数

限制的类型

 Soft 软限制,普通用户自己可以修改
Hard 硬限制,由root用户设定，且通过kernel强制生效
- 二者同时限定

限制的资源

 nofile 所能够同时打开的最大文件数量,默认为1024
nproc 所能够同时运行的进程的最大数量,默认为1024

通过systemd服务

上一篇日志服务管理

下一篇新建机房工程

本文作者：天梯的脚印

本文链接：https://www.cnblogs.com/zxl1024320609/p/16834625.html

posted @ 2022-10-28 08:42 天梯的脚印阅读(358) 评论(0) 编辑收藏举报

刷新页面返回顶部

登录后才能查看或发表评论，立即登录或者逛逛博客园首页

相关博文：

· 第一周作业

· 锐捷网络交换机配置命令大全

· ssh、PAM模块

· 学习笔记-PAM

· 系统安全及应用

zxl1024320609

SUDO,PAM配置规范说明

sudo

sudo简介

文件相关配置

案例

PAM

pam简介

PAM工作原理

PAM 配置文件格式说明

模块类型

module-type

module-Control

module-path

Arguments

执行过程总结概括

模块使用案例

pam_nologin.so 模块

pam_limits.so 模块

公告

常用链接

最新随笔

我的标签

积分与排名

随笔分类

随笔档案

相册

阅读排行榜

评论排行榜

推荐排行榜

最新评论

	sudo 即superuser do，允许系统管理员让普通用户执行一些或者全部的root命令的一个工具，如mount、reboot、shutdown、init、halt、user等等。这样不仅减少了root用户的登录和管理时间，同样也提高了安全性。
	备注：Ubuntu安装系统，默认禁用root账号而第一个普通用户就配置好sudo权限，centos默认启用root账号，因此普通用户需自行配置sudo权限

	? 任意单一字符
	* 匹配任意长度字符
	[wxc] 匹配其中一个字符
	[!wxc] 除了这三个字符的其它字符
	\x 转义
	[[alpha]] 字母

	user: 运行命令者的身份
	host: 通过哪些主机
	(runas)：以哪个用户的身份
	command: 运行哪些命令

	User和runas:
	username
	#uid
	%group_name
	%#gid
	user_alias\|runas_alias
	host:
	ip或hostname
	network(/netmask)
	host_alias
	command:
	command name
	directory
	sudoedit
	Cmnd_Alias

	授权mount命令挂载:
	zxl ALL=(root) /usr/bin/mount /dev/cdrom /mnt/,/usr/bin/umount /mnt

	获取root所有权限
	zxl ALL=(root) ALL

	对授权的命令进行取反
	zxl ALL=(ALL) ALL,!/usr/bin/vim,!/usr/bin/su

	#用户别名定义
	User_Alias SYSADER=wang,mage,%admins
	User_Alias DISKADER=tom

	#主机别名定义
	Host_Alias SERS=www.magedu.com,172.16.0.0/24

	#用户身份别名定义
	Runas_Alias OP=root

	#命令别名定义
	Cmnd_Alias SYDCMD=/bin/chown,/bin/chmod
	Cmnd_Alias DSKCMD=/sbin/parted,/sbin/fdisk
	Cmnd_Alias ADMINCMD = /usr/sbin/useradd，/usr/sbin/usermod,/usr/bin/passwd [azA-Z]*, !/usr/bin/passwd root

	#别名运用方法root ALL=(ALL) ALL
	SYSADER SERS= SYDCMD,DSKCMD
	DISKADER ALL=(OP) DSKCMD
	#ADMINCMD命令访问无需密码验证，/usr/sbin/userdel命令需要密码验证
	ADMINUSER ALL=(root) NOPASSWD:ADMINCMD，PASSWD:/usr/sbin/userdel
	#wang用户只能再指定ip地址内使用root授权命令
	wang 192.168.1.6,192.168.1.8=(root) /usr/sbin/,!/usr/sbin/useradd

	PAM(Pluggable Authentication Modules)即可插拔式认证模块，它是一种高效而且灵活便利的用户级别的认证方式，它也是当前Linux服务器普遍使用的认证方式。
	在不同版本的Linux统中部署PAM认证是有所不同的。
	它提供了对所有服务进行认证的中央机制，适用于login，远程登录（telnet,rlogin,fsh,ftp,点对点协议（PPP）），su等应用程序中。
	系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略；应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( ))来实现对认证方法的调用；而PAM服务模块的开发者则利用PAM SPI来编写模块（主要是引出一些函数pam_sm_xxxx( )供PAM接口库调用），将不同的认证机制加入到系统中；PAM接口库（libpam）则读取配置文件，将应用程序和相应的PAM服务模块联系起来

	官方在线文档：http://www.linux-pam.org/Linux-PAM-html/
	官方离线文档：http://www.linux-pam.org/documentation/

	PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so
	PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib/security下)进行安全认证。

	1.使用者执行/usr/bin/passwd 程序，并输入密码
	2.passwd开始调用PAM模块，PAM模块会搜寻passwd程序的PAM相关设置文件，这个设置文件一般是在/etc/pam.d/里边的与程序同名的文件，即PAM会搜寻/etc/pam.d/passwd此设置文件
	3.经由/etc/pam.d/passwd设定文件的数据，取用PAM所提供的相关模块来进行验证
	4.将验证结果回传给passwd这个程序，而passwd这个程序会根据PAM回传的结果决定下一个动作（重新输入密码或者通过验证）

	[09:37:39 root@rocky8_12 ~]#vim /etc/pam.d/sshd
	#type #Control #path
	1 #%PAM-1.0
	2 auth substack password-auth
	3 auth include postlogin
	4 account required pam_sepermit.so
	5 account required pam_nologin.so
	6 account include password-auth
	7 password include password-auth
	8 # pam_selinux.so close should be the first session rule
	9 session required pam_selinux.so close
	10 session required pam_loginuid.so
	11 # pam_selinux.so open should only be followed by sessions to be executed in the user context
	12 session required pam_selinux.so open env_params
	13 session required pam_namespace.so
	14 session optional pam_keyinit.so force revoke
	15 session optional pam_motd.so
	16 session include password-auth
	17 session include postlogin

	功能：如果/etc/nologin文件存在,将导致非root用户不能登陆,当该用户登陆时，会显示/etc/nologin文
	件内容，并拒绝登陆

	[15:24:54 root@rocky8_31 ~]#cd /etc/pam.d/
	[15:26:24 root@rocky8_31 pam.d]#grep pam_nologin *
	cockpit:account required pam_nologin.so
	gdm-autologin:account required pam_nologin.so
	gdm-fingerprint:account required pam_nologin.so
	gdm-password:account required pam_nologin.so
	gdm-pin:account required pam_nologin.so
	gdm-smartcard:account required pam_nologin.so
	login:account required pam_nologin.so
	remote:account required pam_nologin.so
	sshd:account required pam_nologin.so
	vmtoolsd:account required pam_nologin.so

	[D:\~]$ ssh zxl@192.168.100.31


	Connecting to 192.168.100.31:22...
	Connection established.
	To escape to local shell, press Ctrl+Alt+].
	非root用户不能登录

	Connection closing...Socket close.

	Connection closed by foreign host.

	Disconnected from remote host(192.168.100.31:22) at 15:32:32.

	Type `help' to learn how to use Xshell prompt.

	[D:\~]$ ssh root@192.168.100.31


	Connecting to 192.168.100.31:22...
	Connection established.
	To escape to local shell, press Ctrl+Alt+].

	非root用户不能登录

	Activate the web console with: systemctl enable --now cockpit.socket

	This system is not registered to Red Hat Insights. See https://cloud.redhat.com/
	To register this system, run: insights-client --register

	Last login: Fri Sep 16 15:24:54 2022 from 192.168.100.1

	功能：在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用
	内存空间

	[15:57:22 root@rocky8_31 ~]#grep pam_limits /etc/pam.d/*
	/etc/pam.d/fingerprint-auth:session required pam_limits.so
	/etc/pam.d/password-auth:session required pam_limits.so
	/etc/pam.d/runuser:session required pam_limits.so
	/etc/pam.d/system-auth:session required pam_limits.so

	[16:08:43 root@rocky8_31 ~]#ulimit -a
	core file size (blocks, -c) 0
	data seg size (kbytes, -d) unlimited
	scheduling priority (-e) 0
	file size (blocks, -f) unlimited
	pending signals (-i) 10972
	max locked memory (kbytes, -l) 64
	max memory size (kbytes, -m) unlimited
	open files (-n) 1024
	pipe size (512 bytes, -p) 8
	POSIX message queues (bytes, -q) 819200
	real-time priority (-r) 0
	stack size (kbytes, -s) 8192
	cpu time (seconds, -t) unlimited
	max user processes (-u) 10972
	virtual memory (kbytes, -v) unlimited
	file locks (-x) unlimited

	ulimit是linux shell的内置命令，它具有一套参数集，用于对shell进程及其子进程进行资源限制。
	ulimit的设定值是 per-process 的，也就是说，每个进程有自己的limits值。
	使用ulimit进行修改，立即生效。
	ulimit只影响shell进程及其子进程，用户登出后失效。
	可以在profile中加入ulimit的设置，变相的做到永久生效。

	-H 设置硬件资源限制.
	-S 设置软件资源限制.
	-a 显示当前所有的资源限制.
	-c size:设置core文件的最大值.单位:blocks
	-d size:设置数据段的最大值.单位:kbytes
	-f size:设置创建文件的最大值.单位:blocks
	-l size:设置在内存中锁定进程的最大值.单位:kbytes
	-m size:设置可以使用的常驻内存的最大值.单位:kbytes
	-n size:设置内核可以同时打开的文件描述符的最大值.单位:n
	-p size:设置管道缓冲区的最大值.单位:kbytes
	-s size:设置堆栈的最大值.单位:kbytes
	-t size:设置CPU使用时间的最大上限.单位:seconds
	-u size:最大用户进程数
	-v size:设置虚拟内存的最大值.单位:kbytes
	unlimited 是一个特殊值，用于表示不限制
	#说明
	查询时，若不加H或S参数，默认显示的是软限制
	修改时，若不加H或S参数，两个参数一起改变

	16:44:31 root@rocky8_31 ~]#ulimit -u
	10972
	You have new mail in /var/spool/mail/root
	[17:03:59 root@rocky8_31 ~]#ulimit -u 5000
	[17:04:28 root@rocky8_31 ~]#ulimit -u
	5000

	[17:04:32 root@rocky8_31 ~]#vim /etc/security/limits.conf
	[17:06:35 root@rocky8_31 ~]#grep ^[*] /etc/security/limits.conf
	* soft core unlimited
	* hard core unlimited
	* soft nproc 1000000
	* hard nproc 1000000
	* soft nofile 1000000
	* hard nofile 1000000
	* soft memlock 32000
	* hard memlock 32000
	* soft msgqueue 8192000
	* hard msgqueue 8192000
	#退出当前窗口重新登录
	[17:07:46 root@rocky8_31 ~]#ulimit -a
	core file size (blocks, -c) unlimited
	data seg size (kbytes, -d) unlimited
	scheduling priority (-e) 0
	file size (blocks, -f) unlimited
	pending signals (-i) 10972
	max locked memory (kbytes, -l) 32000
	max memory size (kbytes, -m) unlimited
	open files (-n) 1000000
	pipe size (512 bytes, -p) 8
	POSIX message queues (bytes, -q) 8192000
	real-time priority (-r) 0
	stack size (kbytes, -s) 8192
	cpu time (seconds, -t) unlimited
	max user processes (-u) 1000000
	virtual memory (kbytes, -v) unlimited
	file locks (-x) unlimited

	Username 单个用户
	@group 组内所有用户
	* 所有用户
	% 仅用于限制 maxlogins limit , 可以使用 %group 语法. 只用 % 相当于 * 对所有用户
	maxsyslogins limit限制. %group 表示限制此组中的所有用户总的最大登录数

	Soft 软限制,普通用户自己可以修改
	Hard 硬限制,由root用户设定，且通过kernel强制生效
	- 二者同时限定

	nofile 所能够同时打开的最大文件数量,默认为1024
	nproc 所能够同时运行的进程的最大数量,默认为1024