如何实现用户仅能启停自身专属的systemd服务及可行性确认

当然可以实现！这个需求完全能通过systemd配合权限控制工具来搞定，下面我给你详细讲讲两种靠谱的实现方式：

方法一：通过sudoers配置（最直接易上手） #

• 首先编辑sudoers文件，强烈建议用visudo命令（它会自动检查语法，避免写错导致sudo功能失效）
• 在文件末尾为每个用户添加专属规则，比如给Alice的规则如下：

  alice ALL=(root) NOPASSWD: /usr/bin/systemctl start alice.service, /usr/bin/systemctl stop alice.service, /usr/bin/systemctl restart alice.service, /usr/bin/systemctl status alice.service
  

  这条规则的意思是：Alice可以以root身份执行指定的这几个systemctl命令，而且无需输入密码（如果希望用户操作时输入密码验证，去掉NOPASSWD:即可）
• 同理给Bob添加类似规则，把用户名和服务名替换成bob就行
• 为了让用户操作更方便，还可以给他们配置命令别名：在用户的~/.bashrc文件里添加以下内容

  alias restart-my-service='sudo systemctl restart $USER.service'
  alias start-my-service='sudo systemctl start $USER.service'
  alias stop-my-service='sudo systemctl stop $USER.service'
  

  这样用户直接输入restart-my-service就能重启自己的服务，不用手动敲完整命令

方法二：使用Polkit规则（更优雅，无需sudo） #

• 创建一个Polkit规则文件，比如/etc/polkit-1/rules.d/50-user-service-control.rules
• 在文件中写入以下规则逻辑：

  polkit.addRule(function(action, subject) {
      // 匹配systemctl管理服务的动作
      if (action.id.indexOf("org.freedesktop.systemd1.manage-units") == 0 &&
          subject.user != "root") {
          // 从动作参数中提取要操作的服务名
          var unit = action.lookup("unit");
          // 检查服务名是否和当前用户名完全一致
          if (unit == subject.user + ".service") {
              return polkit.Result.YES;
          } else {
              return polkit.Result.NO;
          }
      }
  });
  

• 保存文件后，重启polkit服务让规则生效：systemctl restart polkit
• 配置完成后，用户不需要加sudo，直接运行systemctl restart alice.service就能操作自己的服务，尝试操作他人服务时会被直接拒绝权限

额外注意事项 #

• 建议在每个用户的服务文件里添加User=alice（替换为对应用户名），让服务以该用户身份运行，这样既符合权限最小化原则，也能避免文件权限问题
• 配置完成后一定要测试：切换到Alice用户，尝试执行systemctl restart bob.service，应该会提示权限不足；而执行自己的服务命令则能正常运行
• 如果用sudoers方法，绝对不要直接编辑/etc/sudoers文件，必须用visudo，否则语法错误会导致sudo完全无法使用

备注：内容来源于stack exchange，提问作者Erel Segal-Halevi