CentOS 7资源限制分三类：登录用户需同时满足limits.conf、UsePAM yes及pam_limits.so三条件；systemd服务必须通过system.conf全局配置DefaultLimitNOFILE或service文件中LimitNOFILE设置；内核参数fs.file-max和kernel.pid_max为最终兜底上限。
CentOS 7 的系统资源限制分三类生效域：登录用户、systemd 服务、内核全局参数。直接改 /etc/security/limits.conf 只对 PAM 登录用户有效，对 systemctl start 启动的服务完全无效——这是最常踩的坑。
登录用户的 nofile / nproc 限制怎么配才生效
必须同时满足三个条件，缺一不可：
-
/etc/security/limits.conf或/etc/security/limits.d/*.conf中写入正确条目，例如：* soft nofile 65535* hard nofile 65535* soft nproc 65535* hard nproc 65535 -
/etc/ssh/sshd_config中启用UsePAM yes（不能注释掉） -
/etc/pam.d/sshd必须包含session required pam_limits.so——很多系统默认缺失或被注释，直接覆盖写入最稳妥
验证方式：ssh 新建会话后执行 ulimit -n 和 ulimit -u，输出应为设置值。注意：prlimit --pid $$ 修改仅限当前 shell，退出即失效。
systemd 服务的 LimitNOFILE / LimitNPROC 怎么设
登录用户限制对 systemd service 不起作用。必须在 systemd 配置中显式声明：
CentOS Linux 7.9.2009
下载
CentOS Linux 7.9.2009是传统CentOS Linux 7的最后主要版本，也是很多企业历史服务器中仍可能遇到的系统版本。它以稳定、兼容RHEL 7生态、文档丰富和软件支持广泛著称，曾长期用于Web服务、数据库、虚拟化节点和企业内部业务系统。不过CentOS Linux 7已于2024年6月30日停止维护，现在继续使用会面临安全补丁缺失风险。该版本更适合旧业务迁移、历史环境恢复或离
- 全局生效（所有新启动的服务）：
编辑/etc/systemd/system.conf，取消注释并修改：DefaultLimitNOFILE=65535DefaultLimitNPROC=65535
然后执行systemctl daemon-reexec（无需重启机器） - 单个服务生效（推荐）：
在/etc/systemd/system/<service-name>.service.d/limit.conf</service-name>中写入：[Service]<br>LimitNOFILE=100000<br>LimitNPROC=100000
再执行systemctl daemon-reload && systemctl restart <service-name></service-name> - 验证：
cat /proc/$(pgrep -f "<service-name>")/limits | grep -E "(Max open files|Max processes)"</service-name>
为什么改了 limits.conf 还是报 “Too many open files”
常见原因不是配置没写，而是没走 PAM 流程：
- 用
su - user切换用户时，若未加-（即不模拟完整登录），pam_limits.so不触发，限制不加载 - systemd 启动的进程（包括 crond、rsyslog、自定义脚本服务）完全绕过
limits.conf，只认 systemd 的Limit*参数 - 容器内进程（如 Docker）受 cgroup 限制，与宿主机
limits.conf无关，需在docker run加--ulimit nofile=65535:65535或改 daemon.json - 某些服务（如 nginx、redis）自身有
worker_rlimit_nofile等内部参数，需同步调整，否则即使系统允许也打不开那么多 fd
内核级参数 pid_max 和 file-max 容易被忽略
用户和 systemd 层面的限制，最终受内核上限兜底：
-
fs.file-max是整个系统的最大文件句柄数，查看：sysctl fs.file-max；临时调高：sysctl -w fs.file-max=2097152；永久写入/etc/sysctl.conf -
kernel.pid_max控制进程 ID 上限，默认常为 32768，高并发场景下不够用；建议设为65536或更高，同样需sysctl -p生效 -
ulimit -n最大只能到fs.file-max的一半左右，否则启动进程时会静默截断——这点极少被文档提及，但实测如此
真正要调满，得从内核参数、systemd、PAM 登录、应用自身四层一起对齐，漏一层就卡在那一层的默认值上。
