如何在systemd中通过环境变量指定进程运行用户？

这个问题我之前帮不少运维同学排查过，你踩的坑其实是systemd的一个常见特性：User=指令在systemd解析单元文件的早期阶段就被处理了，这时候环境变量还没被加载，所以直接写User=${TOMCAT_USER}根本不会被解析——这就是配置失效的核心原因。

而且你不想用su - ${TOMCAT_USER} -c ...的方式是对的，那种方式会加载用户的登录shell配置，可能引入不必要的环境变量，还会增加启动开销。下面给你两种符合要求的正确实现方法：

方法一：使用runuser命令（systemd推荐方案） #

runuser是systemd提供的轻量用户切换工具，专门用于服务场景，比su更高效，也不会加载登录shell配置。你只需要修改ExecStart和ExecStop指令，用runuser来指定目标用户：

[Unit]
Description=Apache Tomcat Web Application Container
After=syslog.target network.target

[Service]
Type=simple
EnvironmentFile=/etc/tomcat/tomcat.conf
Environment="NAME=%I"
EnvironmentFile=-/etc/sysconfig/tomcat@%I
# 使用runuser切换到TOMCAT_USER执行命令，--用于分隔用户和命令参数
ExecStart=/usr/bin/runuser -u ${TOMCAT_USER} -- /usr/libexec/tomcat/server start
ExecStop=/usr/bin/runuser -u ${TOMCAT_USER} -- /usr/libexec/tomcat/server stop
SuccessExitStatus=143
# 这里不需要再配置User=字段，runuser已经完成用户切换

[Install]
WantedBy=multi-user.target

额外优化：添加用户存在性检查 #

为了避免因TOMCAT_USER不存在导致服务启动失败，你可以在Service段添加一个前置检查：

ExecStartPre=/usr/bin/id ${TOMCAT_USER}

这样如果用户不存在，服务启动前就会直接报错，方便你快速排查问题。

方法二：使用实例化单元的动态用户（适合多实例场景） #

如果你的Tomcat是多实例部署（比如tomcat@instance1、tomcat@instance2），且每个实例的运行用户和实例强绑定，你也可以把用户信息写入实例专属的EnvironmentFile，然后结合runuser使用——本质上是方法一的延伸，只不过把用户变量和实例配置放在一起，更便于管理。

验证配置是否生效 #

修改完单元文件后，别忘了执行：

systemctl daemon-reload

然后启动服务，用以下命令检查进程运行用户是否正确：

ps aux | grep tomcat

或者查看服务状态确认没有报错：

systemctl status tomcat@your-instance-name

内容的提问来源于stack exchange，提问作者user620165