很多的数据库在安装配置阶段，都会对数据库用户的limits做一些特殊的设置。但是经常会遇到配置了不生效的问题，于是我觉得有必要总结一下，以nofile为例来说明limits配置的几个注意点。

配置文件的作用域

limits.conf的文件内容格式如下

[root@adb02 ~]# cat /etc/security/limits.conf
guqi soft nproc 65536
guqi hard nproc 65536
guqi soft nofile 278528
guqi hard nofile 278528
guqi soft stack unlimited
guqi soft core unlimited
guqi hard core unlimited
guqi soft memlock 250000000
guqi hard memlock 250000000

这个配置文件在CentOS 7及以后操作系统中，只作用于通过PAM模块认证的用户了。
那么其他情况下，进程的nofile限制其实读取的是systemd的默认配置，即/etc/systemd/system.conf和/etc/systemd/user.conf这两个配置文件。前者是系统级的，后者是用户级的。

PAM模块

PAM使用配置在/etc/pam.d/下的文件，来管理对程序的认证方式。应用程序 调用相应的配置文件，从而调用本地的认证模块。模块放置在/lib64/security下，以加载动态库的形式进，像我们使用su命令时，系统会提示你输入root用户的密码。这就是su命令通过调用PAM模块实现的。
常用的pam库有很多，跟limits相关的是下面这个动态库

因此，不同的服务，如果需要对limits配置，那么需要在/etc/pam.d/里面对应的配置文件里面加上这个so，以sshd服务为例，配置文件的内容示例如下

[root@adb02 ~]# cat /etc/pam.d/sshd
#%PAM-1.0
auth       required     pam_sepermit.so
auth       substack     password-auth
auth       include      postlogin
# Used with polkit to reauthorize users in remote sessions
-auth      optional     pam_reauthorize.so prepare
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    required     pam_limits.so
session    include      password-auth
session    include      postlogin
# Used with polkit to reauthorize users in remote sessions
-session   optional     pam_reauthorize.so prepare

然后修改sshd服务本身的配置文件：cat /etc/ssh/sshd_config

vi /etc/ssh/sshd_config
...
UsePAM yes
...

后续新建立的ssh连接，就会读取/etc/security/limits.conf文件内的设置了。
注意：如果/etc/security/limits.d/*.conf里面，有相同用户名的配置，会覆盖limits.conf的设置。

systemd的配置

vi /etc/systemd/system.conf
...
DefaultLimitNOFILE=278528
...

这种修改方式，必须重启主机才能生效。

内核参数

limits的配置，并不是无限大的，这个上限值有内核参数控制

[root@adb02 ~]# sysctl -a | grep nr_open
fs.nr_open = 1048576

CentOS 7默认单个进程能打开的最大文件句柄数是1048576，如果limits设的比这个大，会出现下面这种ERROR

[root@adb02 ~]# vi /etc/security/limits.conf
...
#guqi soft nofile 278528
#guqi hard nofile 278528
guqi soft nofile 1048577
guqi hard nofile 1048577
...
[root@adb02 ~]# su - guqi
Last login: Wed May 12 15:19:35 CST 2021 on pts/0
su: cannot open session: Permission denied
[root@adb02 ~]#

修改这个默认值，按下面的方法做

[root@adb02 ~]# vi /etc/sysctl.conf
...
fs.nr_open = 104857600
..
[root@adb02 ~]# sysctl -p