man/systemd-system.conf.xml

   1 <?xml version='1.0'?>
   2 <!DOCTYPE refentry PUBLIC "-//OASIS//DTD DocBook XML V4.5//EN"
   3   "http://www.oasis-open.org/docbook/xml/4.5/docbookx.dtd" [
   4 <!ENTITY % entities SYSTEM "custom-entities.ent" >
   5 %entities;
   6 ]>
   7 <!-- SPDX-License-Identifier: LGPL-2.1-or-later -->
   8
   9 <refentry id="systemd-system.conf"
  10     xmlns:xi="http://www.w3.org/2001/XInclude">
  11   <refentryinfo>
  12     <title>systemd-system.conf</title>
  13     <productname>systemd</productname>
  14   </refentryinfo>
  15
  16   <refmeta>
  17     <refentrytitle>systemd-system.conf</refentrytitle>
  18     <manvolnum>5</manvolnum>
  19   </refmeta>
  20
  21   <refnamediv>
  22     <refname>systemd-system.conf</refname>
  23     <refname>system.conf.d</refname>
  24     <refname>systemd-user.conf</refname>
  25     <refname>user.conf.d</refname>
  26     <refpurpose>System and session service manager configuration files</refpurpose>
  27   </refnamediv>
  28
  29   <refsynopsisdiv>
  30     <para><filename>/etc/systemd/system.conf</filename>,
  31     <filename>/run/systemd/system.conf</filename>,
  32     <filename>/usr/lib/systemd/system.conf</filename>,
  33     <filename>/etc/systemd/system.conf.d/*.conf</filename>,
  34     <filename>/run/systemd/system.conf.d/*.conf</filename>,
  35     <filename>/usr/lib/systemd/system.conf.d/*.conf</filename></para>
  36
  37     <para><filename>~/.config/systemd/user.conf</filename>,
  38     <filename>/etc/systemd/user.conf</filename>,
  39     <filename>/run/systemd/user.conf</filename>,
  40     <filename>/usr/lib/systemd/user.conf</filename>,
  41     <filename>/etc/systemd/user.conf.d/*.conf</filename>,
  42     <filename>/run/systemd/user.conf.d/*.conf</filename>,
  43     <filename>/usr/lib/systemd/user.conf.d/*.conf</filename></para>
  44   </refsynopsisdiv>
  45
  46   <refsect1>
  47     <title>Description</title>
  48
  49     <para>When run as a system instance, <command>systemd</command> interprets the configuration file
  50     <filename>system.conf</filename> and the files in <filename>system.conf.d</filename> directories; when
  51     run as a user instance, it interprets the configuration file <filename>user.conf</filename> (in order of
  52     priority, in the home directory of the user and under <filename>/etc/systemd/</filename>,
  53     <filename>/run/systemd/</filename>, and <filename>/usr/lib/systemd/</filename>) and the files in
  54     <filename>user.conf.d</filename> directories. These configuration files contain a few settings
  55     controlling basic manager operations.</para>
  56
  57     <para>See
  58     <citerefentry><refentrytitle>systemd.syntax</refentrytitle><manvolnum>7</manvolnum></citerefentry> for a
  59     general description of the syntax.</para>
  60   </refsect1>
  61
  62   <xi:include href="standard-conf.xml" xpointer="main-conf" />
  63
  64   <refsect1>
  65     <title>Options</title>
  66
  67     <para>All options are configured in the [Manager] section:</para>
  68
  69     <variablelist class='config-directives'>
  70       <varlistentry>
  71         <term><varname>LogColor=</varname></term>
  72         <term><varname>LogLevel=</varname></term>
  73         <term><varname>LogLocation=</varname></term>
  74         <term><varname>LogTarget=</varname></term>
  75         <term><varname>LogTime=</varname></term>
  76         <term><varname>DumpCore=yes</varname></term>
  77         <term><varname>CrashChangeVT=no</varname></term>
  78         <term><varname>CrashShell=no</varname></term>
  79         <term><varname>CrashAction=freeze</varname></term>
  80         <term><varname>ShowStatus=yes</varname></term>
  81         <term><varname>DefaultStandardOutput=journal</varname></term>
  82         <term><varname>DefaultStandardError=inherit</varname></term>
  83
  84         <listitem><para>Configures various parameters of basic manager operation. These options may be overridden by
  85         the respective process and kernel command line arguments. See
  86         <citerefentry><refentrytitle>systemd</refentrytitle><manvolnum>1</manvolnum></citerefentry> for
  87         details.</para>
  88
  89         <xi:include href="version-info.xml" xpointer="v198"/></listitem>
  90       </varlistentry>
  91
  92       <varlistentry>
  93         <term><varname>CtrlAltDelBurstAction=</varname></term>
  94
  95         <listitem><para>Defines what action will be performed
  96         if user presses Ctrl-Alt-Delete more than 7 times in 2s.
  97         Can be set to <literal>reboot-force</literal>, <literal>poweroff-force</literal>,
  98         <literal>reboot-immediate</literal>, <literal>poweroff-immediate</literal>
  99         or disabled with <literal>none</literal>. Defaults to
 100         <literal>reboot-force</literal>.
 101         </para>
 102
 103         <xi:include href="version-info.xml" xpointer="v232"/></listitem>
 104       </varlistentry>
 105
 106       <varlistentry>
 107         <term><varname>StatusUnitFormat=</varname></term>
 108
 109         <listitem><para>Takes <option>name</option>, <option>description</option> or
 110         <option>combined</option> as the value. If <option>name</option>, the system manager will use unit
 111         names in status messages (e.g. <literal>systemd-journald.service</literal>), instead of the longer
 112         and more informative descriptions set with <varname>Description=</varname> (e.g. <literal>Journal
 113         Logging Service</literal>). If <option>combined</option>, the system manager will use both unit names
 114         and descriptions in status messages (e.g. <literal>systemd-journald.service - Journal Logging
 115         Service</literal>).</para>
 116
 117         <para>See
 118         <citerefentry><refentrytitle>systemd.unit</refentrytitle><manvolnum>5</manvolnum></citerefentry> for
 119         details about unit names and <varname>Description=</varname>.</para>
 120
 121         <xi:include href="version-info.xml" xpointer="v243"/></listitem>
 122       </varlistentry>
 123
 124       <varlistentry>
 125         <term><varname>DefaultTimerAccuracySec=</varname></term>
 126
 127         <listitem><para>Sets the default accuracy of timer units. This
 128         controls the global default for the
 129         <varname>AccuracySec=</varname> setting of timer units, see
 130         <citerefentry><refentrytitle>systemd.timer</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 131         for details. <varname>AccuracySec=</varname> set in individual
 132         units override the global default for the specific unit.
 133         Defaults to 1min. Note that the accuracy of timer units is
 134         also affected by the configured timer slack for PID 1, see
 135         <varname>TimerSlackNSec=</varname> above.</para>
 136
 137         <xi:include href="version-info.xml" xpointer="v212"/></listitem>
 138       </varlistentry>
 139     </variablelist>
 140   </refsect1>
 141
 142   <refsect1>
 143     <title>Resource Management</title>
 144
 145     <variablelist class='config-directives'>
 146       <varlistentry>
 147         <term><varname>TimerSlackNSec=</varname></term>
 148
 149         <listitem><para>Sets the timer slack in nanoseconds for PID 1,
 150         which is inherited by all executed processes, unless
 151         overridden individually, for example with the
 152         <varname>TimerSlackNSec=</varname> setting in service units
 153         (for details see
 154         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>).
 155         The timer slack controls the accuracy of wake-ups triggered by
 156         system timers. See
 157         <citerefentry><refentrytitle>prctl</refentrytitle><manvolnum>2</manvolnum></citerefentry>
 158         for more information. Note that in contrast to most other time
 159         span definitions this parameter takes an integer value in
 160         nano-seconds if no unit is specified. The usual time units are
 161         understood too.</para>
 162
 163         <xi:include href="version-info.xml" xpointer="v198"/></listitem>
 164       </varlistentry>
 165       <varlistentry>
 166         <term><varname>CPUAffinity=</varname></term>
 167
 168         <listitem><para>Configures the CPU affinity for the service manager as well as the default CPU
 169         affinity for all forked off processes. Takes a list of CPU indices or ranges separated by either
 170         whitespace or commas. CPU ranges are specified by the lower and upper CPU indices separated by a
 171         dash. This option may be specified more than once, in which case the specified CPU affinity masks are
 172         merged. If the empty string is assigned, the mask is reset, all assignments prior to this will have
 173         no effect. Individual services may override the CPU affinity for their processes with the
 174         <varname>CPUAffinity=</varname> setting in unit files, see
 175         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>.</para>
 176
 177         <xi:include href="version-info.xml" xpointer="v198"/></listitem>
 178       </varlistentry>
 179
 180       <varlistentry>
 181         <term><varname>NUMAPolicy=</varname></term>
 182
 183         <listitem><para>Configures the NUMA memory policy for the service manager and the default NUMA memory policy
 184         for all forked off processes. Individual services may override the default policy with the
 185         <varname>NUMAPolicy=</varname> setting in unit files, see
 186         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>.</para>
 187
 188         <xi:include href="version-info.xml" xpointer="v243"/></listitem>
 189       </varlistentry>
 190
 191       <varlistentry>
 192         <term><varname>NUMAMask=</varname></term>
 193
 194         <listitem><para>Configures the NUMA node mask that will be associated with the selected NUMA policy. Note that
 195         <option>default</option> and <option>local</option> NUMA policies do not require explicit NUMA node mask and
 196         value of the option can be empty. Similarly to <varname>NUMAPolicy=</varname>, value can be overridden
 197         by individual services in unit files, see
 198         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>.</para>
 199
 200         <xi:include href="version-info.xml" xpointer="v243"/></listitem>
 201       </varlistentry>
 202
 203       <varlistentry>
 204         <term><varname>DefaultCPUAccounting=</varname></term>
 205         <term><varname>DefaultMemoryAccounting=</varname></term>
 206         <term><varname>DefaultTasksAccounting=</varname></term>
 207         <term><varname>DefaultIOAccounting=</varname></term>
 208         <term><varname>DefaultIPAccounting=</varname></term>
 209
 210         <listitem>
 211         <para>Configure the default resource accounting settings, as configured per-unit by
 212         <varname>CPUAccounting=</varname>, <varname>MemoryAccounting=</varname>,
 213         <varname>TasksAccounting=</varname>, <varname>IOAccounting=</varname> and
 214         <varname>IPAccounting=</varname>. See
 215         <citerefentry><refentrytitle>systemd.resource-control</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 216         for details on the per-unit settings.</para>
 217
 218         <para><varname>DefaultCPUAccounting=</varname> defaults to yes when running on kernel ≥4.15, and no on older versions.
 219         <varname>DefaultMemoryAccounting=</varname> defaults to &MEMORY_ACCOUNTING_DEFAULT;.
 220         <varname>DefaultTasksAccounting=</varname> defaults to yes.
 221         The other settings default to no.</para>
 222
 223         <xi:include href="version-info.xml" xpointer="v211"/>
 224         </listitem>
 225       </varlistentry>
 226
 227       <varlistentry>
 228         <term><varname>DefaultTasksMax=</varname></term>
 229
 230         <listitem><para>Configure the default value for the per-unit <varname>TasksMax=</varname> setting. See
 231         <citerefentry><refentrytitle>systemd.resource-control</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 232         for details. This setting applies to all unit types that support resource control settings, with the exception
 233         of slice units. Defaults to 15% of the minimum of <varname>kernel.pid_max=</varname>, <varname>kernel.threads-max=</varname>
 234         and root cgroup <varname>pids.max</varname>.
 235         Kernel has a default value for <varname>kernel.pid_max=</varname> and an algorithm of counting in case of more than 32 cores.
 236         For example, with the default <varname>kernel.pid_max=</varname>, <varname>DefaultTasksMax=</varname> defaults to 4915,
 237         but might be greater in other systems or smaller in OS containers.</para>
 238
 239         <xi:include href="version-info.xml" xpointer="v228"/></listitem>
 240       </varlistentry>
 241
 242       <varlistentry>
 243         <term><varname>DefaultLimitCPU=</varname></term>
 244         <term><varname>DefaultLimitFSIZE=</varname></term>
 245         <term><varname>DefaultLimitDATA=</varname></term>
 246         <term><varname>DefaultLimitSTACK=</varname></term>
 247         <term><varname>DefaultLimitCORE=</varname></term>
 248         <term><varname>DefaultLimitRSS=</varname></term>
 249         <term><varname>DefaultLimitNOFILE=</varname></term>
 250         <term><varname>DefaultLimitAS=</varname></term>
 251         <term><varname>DefaultLimitNPROC=</varname></term>
 252         <term><varname>DefaultLimitMEMLOCK=</varname></term>
 253         <term><varname>DefaultLimitLOCKS=</varname></term>
 254         <term><varname>DefaultLimitSIGPENDING=</varname></term>
 255         <term><varname>DefaultLimitMSGQUEUE=</varname></term>
 256         <term><varname>DefaultLimitNICE=</varname></term>
 257         <term><varname>DefaultLimitRTPRIO=</varname></term>
 258         <term><varname>DefaultLimitRTTIME=</varname></term>
 259
 260         <listitem><para>These settings control various default resource limits for processes executed by
 261         units. See
 262         <citerefentry><refentrytitle>setrlimit</refentrytitle><manvolnum>2</manvolnum></citerefentry> for
 263         details. These settings may be overridden in individual units using the corresponding
 264         <varname>LimitXXX=</varname> directives and they accept the same parameter syntax,
 265         see <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 266         for details. Note that these resource limits are only defaults
 267         for units, they are not applied to the service manager process (i.e. PID 1) itself.</para>
 268
 269         <para>Most of these settings are unset, which means the resource limits are inherited from the kernel or, if
 270         invoked in a container, from the container manager. However, the following have defaults:</para>
 271         <itemizedlist>
 272           <listitem><para><varname>DefaultLimitNOFILE=</varname> defaults to 1024:&HIGH_RLIMIT_NOFILE;.
 273           </para></listitem>
 274
 275           <listitem><para><varname>DefaultLimitMEMLOCK=</varname> defaults to 8M.</para></listitem>
 276
 277           <listitem><para><varname>DefaultLimitCORE=</varname> does not have a default but it is worth mentioning that
 278           <varname>RLIMIT_CORE</varname> is set to <literal>infinity</literal> by PID 1 which is inherited by its
 279           children.</para></listitem>
 280         </itemizedlist>
 281
 282         <para>Note that the service manager internally in PID 1 bumps <varname>RLIMIT_NOFILE</varname> and
 283         <varname>RLIMIT_MEMLOCK</varname> to higher values, however the limit is reverted to the mentioned
 284         defaults for all child processes forked off.</para>
 285
 286         <xi:include href="version-info.xml" xpointer="v198"/>
 287       </listitem>
 288       </varlistentry>
 289
 290       <varlistentry>
 291         <term><varname>DefaultOOMPolicy=</varname></term>
 292
 293         <listitem><para>Configure the default policy for reacting to processes being killed by the Linux
 294         Out-Of-Memory (OOM) killer or <command>systemd-oomd</command>. This may be used to pick a global default for the per-unit
 295         <varname>OOMPolicy=</varname> setting. See
 296         <citerefentry><refentrytitle>systemd.service</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 297         for details. Note that this default is not used for services that have <varname>Delegate=</varname>
 298         turned on.</para>
 299
 300         <xi:include href="version-info.xml" xpointer="v243"/></listitem>
 301       </varlistentry>
 302
 303       <varlistentry>
 304         <term><varname>DefaultOOMScoreAdjust=</varname></term>
 305
 306         <listitem><para>Configures the default OOM score adjustments of processes run by the service
 307         manager. This defaults to unset (meaning the forked off processes inherit the service manager's OOM
 308         score adjustment value), except if the service manager is run for an unprivileged user, in which case
 309         this defaults to the service manager's OOM adjustment value plus 100 (this makes service processes
 310         slightly more likely to be killed under memory pressure than the manager itself). This may be used to
 311         pick a global default for the per-unit <varname>OOMScoreAdjust=</varname> setting. See
 312         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry> for
 313         details. Note that this setting has no effect on the OOM score adjustment value of the service
 314         manager process itself, it retains the original value set during its invocation.</para>
 315
 316         <xi:include href="version-info.xml" xpointer="v250"/></listitem>
 317       </varlistentry>
 318
 319       <varlistentry>
 320         <term><varname>DefaultMemoryPressureWatch=</varname></term>
 321         <term><varname>DefaultMemoryPressureThresholdSec=</varname></term>
 322
 323         <listitem><para>Configures the default settings for the per-unit
 324         <varname>MemoryPressureWatch=</varname> and <varname>MemoryPressureThresholdSec=</varname>
 325         settings. See
 326         <citerefentry><refentrytitle>systemd.resource-control</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 327         for details. Defaults to <literal>auto</literal> and <literal>200ms</literal>, respectively. This
 328         also sets the memory pressure monitoring threshold for the service manager itself.</para>
 329
 330         <xi:include href="version-info.xml" xpointer="v254"/></listitem>
 331       </varlistentry>
 332     </variablelist>
 333   </refsect1>
 334
 335   <refsect1>
 336     <title>Hardware Watchdog</title>
 337
 338     <variablelist class='config-directives'>
 339       <varlistentry>
 340         <term><varname>RuntimeWatchdogSec=</varname></term>
 341         <term><varname>RebootWatchdogSec=</varname></term>
 342         <term><varname>KExecWatchdogSec=</varname></term>
 343
 344         <listitem><para>Configure the hardware watchdog at runtime and at reboot. Takes a timeout value in
 345         seconds (or in other time units if suffixed with <literal>ms</literal>, <literal>min</literal>,
 346         <literal>h</literal>, <literal>d</literal>, <literal>w</literal>), or the special strings
 347         <literal>off</literal> or <literal>default</literal>. If set to <literal>off</literal>
 348         (alternatively: <literal>0</literal>) the watchdog logic is disabled: no watchdog device is opened,
 349         configured, or pinged. If set to the special string <literal>default</literal> the watchdog is opened
 350         and pinged in regular intervals, but the timeout is not changed from the default. If set to any other
 351         time value the watchdog timeout is configured to the specified value (or a value close to it,
 352         depending on hardware capabilities).</para>
 353
 354         <para>If <varname>RuntimeWatchdogSec=</varname> is set to a non-zero value, the watchdog hardware
 355         (<filename>/dev/watchdog0</filename> or the path specified with <varname>WatchdogDevice=</varname> or
 356         the kernel option <varname>systemd.watchdog-device=</varname>) will be programmed to automatically
 357         reboot the system if it is not contacted within the specified timeout interval. The system manager
 358         will ensure to contact it at least once in half the specified timeout interval. This feature requires
 359         a hardware watchdog device to be present, as it is commonly the case in embedded and server
 360         systems. Not all hardware watchdogs allow configuration of all possible reboot timeout values, in
 361         which case the closest available timeout is picked.</para>
 362
 363         <para><varname>RebootWatchdogSec=</varname> may be used to configure the hardware watchdog when the
 364         system is asked to reboot. It works as a safety net to ensure that the reboot takes place even if a
 365         clean reboot attempt times out. Note that the <varname>RebootWatchdogSec=</varname> timeout applies
 366         only to the second phase of the reboot, i.e. after all regular services are already terminated, and
 367         after the system and service manager process (PID 1) got replaced by the
 368         <filename>systemd-shutdown</filename> binary, see system
 369         <citerefentry><refentrytitle>bootup</refentrytitle><manvolnum>7</manvolnum></citerefentry> for
 370         details. During the first phase of the shutdown operation the system and service manager remains
 371         running and hence <varname>RuntimeWatchdogSec=</varname> is still honoured. In order to define a
 372         timeout on this first phase of system shutdown, configure <varname>JobTimeoutSec=</varname> and
 373         <varname>JobTimeoutAction=</varname> in the [Unit] section of the
 374         <filename>shutdown.target</filename> unit. By default, <varname>RuntimeWatchdogSec=</varname> defaults
 375         to 0 (off), and <varname>RebootWatchdogSec=</varname> to 10min.</para>
 376
 377         <para><varname>KExecWatchdogSec=</varname> may be used to additionally enable the watchdog when kexec
 378         is being executed rather than when rebooting. Note that if the kernel does not reset the watchdog on
 379         kexec (depending on the specific hardware and/or driver), in this case the watchdog might not get
 380         disabled after kexec succeeds and thus the system might get rebooted, unless
 381         <varname>RuntimeWatchdogSec=</varname> is also enabled at the same time.  For this reason it is
 382         recommended to enable <varname>KExecWatchdogSec=</varname> only if
 383         <varname>RuntimeWatchdogSec=</varname> is also enabled.</para>
 384
 385         <para>These settings have no effect if a hardware watchdog is not available.</para>
 386
 387         <xi:include href="version-info.xml" xpointer="v198"/></listitem>
 388       </varlistentry>
 389
 390       <varlistentry>
 391         <term><varname>RuntimeWatchdogPreSec=</varname></term>
 392
 393         <listitem><para>Configure the hardware watchdog device pre-timeout value.
 394         Takes a timeout value in seconds (or in other time units similar to
 395         <varname>RuntimeWatchdogSec=</varname>). A watchdog pre-timeout is a
 396         notification generated by the watchdog before the watchdog reset might
 397         occur in the event the watchdog has not been serviced. This notification
 398         is handled by the kernel and can be configured to take an action (i.e.
 399         generate a kernel panic) using <varname>RuntimeWatchdogPreGovernor=</varname>.
 400         Not all watchdog hardware or drivers support generating a pre-timeout and
 401         depending on the state of the system, the kernel may be unable to take the
 402         configured action before the watchdog reboot. The watchdog will be configured
 403         to generate the pre-timeout event at the amount of time specified by
 404         <varname>RuntimeWatchdogPreSec=</varname> before the runtime watchdog timeout
 405         (set by <varname>RuntimeWatchdogSec=</varname>). For example, if the we have
 406         <varname>RuntimeWatchdogSec=30</varname> and
 407         <varname>RuntimeWatchdogPreSec=10</varname>, then the pre-timeout event
 408         will occur if the watchdog has not pinged for 20s (10s before the
 409         watchdog would fire). By default, <varname>RuntimeWatchdogPreSec=</varname>
 410         defaults to 0 (off). The value set for <varname>RuntimeWatchdogPreSec=</varname>
 411         must be smaller than the timeout value for <varname>RuntimeWatchdogSec=</varname>.
 412         This setting has no effect if a hardware watchdog is not available or the
 413         hardware watchdog does not support a pre-timeout and will be ignored by the
 414         kernel if the setting is greater than the actual watchdog timeout.</para>
 415
 416         <xi:include href="version-info.xml" xpointer="v251"/></listitem>
 417       </varlistentry>
 418
 419       <varlistentry>
 420         <term><varname>RuntimeWatchdogPreGovernor=</varname></term>
 421
 422         <listitem><para>Configure the action taken by the hardware watchdog device
 423         when the pre-timeout expires. The default action for the pre-timeout event
 424         depends on the kernel configuration, but it is usually to log a kernel
 425         message. For a list of valid actions available for a given watchdog device,
 426         check the content of the
 427         <filename>/sys/class/watchdog/watchdog<replaceable>X</replaceable>/pretimeout_available_governors</filename>
 428         file. Typically, available governor types are <varname>noop</varname> and <varname>panic</varname>.
 429         Availability, names and functionality might vary depending on the specific device driver
 430         in use. If the <filename>pretimeout_available_governors</filename> sysfs file is empty,
 431         the governor might be built as a kernel module and might need to be manually loaded
 432         (e.g. <varname>pretimeout_noop.ko</varname>), or the watchdog device might not support
 433         pre-timeouts.</para>
 434
 435         <xi:include href="version-info.xml" xpointer="v251"/></listitem>
 436       </varlistentry>
 437
 438       <varlistentry>
 439         <term><varname>WatchdogDevice=</varname></term>
 440
 441         <listitem><para>Configure the hardware watchdog device that the
 442         runtime and shutdown watchdog timers will open and use. Defaults
 443         to <filename>/dev/watchdog0</filename>. This setting has no
 444         effect if a hardware watchdog is not available.</para>
 445
 446         <xi:include href="version-info.xml" xpointer="v236"/></listitem>
 447       </varlistentry>
 448     </variablelist>
 449   </refsect1>
 450
 451   <refsect1>
 452     <title>Security</title>
 453
 454     <variablelist class='config-directives'>
 455       <varlistentry>
 456         <term><varname>CapabilityBoundingSet=</varname></term>
 457
 458         <listitem><para>Controls which capabilities to include in the
 459         capability bounding set for PID 1 and its children. See
 460         <citerefentry project='man-pages'><refentrytitle>capabilities</refentrytitle><manvolnum>7</manvolnum></citerefentry>
 461         for details. Takes a whitespace-separated list of capability
 462         names as read by
 463         <citerefentry project='mankier'><refentrytitle>cap_from_name</refentrytitle><manvolnum>3</manvolnum></citerefentry>.
 464         Capabilities listed will be included in the bounding set, all
 465         others are removed. If the list of capabilities is prefixed
 466         with ~, all but the listed capabilities will be included, the
 467         effect of the assignment inverted. Note that this option also
 468         affects the respective capabilities in the effective,
 469         permitted and inheritable capability sets. The capability
 470         bounding set may also be individually configured for units
 471         using the <varname>CapabilityBoundingSet=</varname> directive
 472         for units, but note that capabilities dropped for PID 1 cannot
 473         be regained in individual units, they are lost for
 474         good.</para>
 475
 476         <xi:include href="version-info.xml" xpointer="v198"/></listitem>
 477       </varlistentry>
 478
 479       <varlistentry>
 480         <term><varname>NoNewPrivileges=</varname></term>
 481
 482         <listitem><para>Takes a boolean argument. If true, ensures that PID 1
 483         and all its children can never gain new privileges through
 484         <citerefentry project='man-pages'><refentrytitle>execve</refentrytitle><manvolnum>2</manvolnum></citerefentry>
 485         (e.g. via setuid or setgid bits, or filesystem capabilities).
 486         Defaults to false. General purpose distributions commonly rely
 487         on executables with setuid or setgid bits and will thus not
 488         function properly with this option enabled. Individual units
 489         cannot disable this option.
 490         Also see <ulink url="https://docs.kernel.org/userspace-api/no_new_privs.html">No New Privileges Flag</ulink>.
 491         </para>
 492
 493         <xi:include href="version-info.xml" xpointer="v239"/></listitem>
 494       </varlistentry>
 495
 496       <varlistentry>
 497         <term><varname>ProtectSystem=</varname></term>
 498
 499         <listitem><para>Takes a boolean argument or the string <literal>auto</literal>. If set to true this
 500         will remount <filename>/usr/</filename> read-only. If set to <literal>auto</literal> (the default)
 501         and running in an initrd equivalent to true, otherwise false. This implements a restricted subset of
 502         the per-unit setting of the same name, see
 503         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry> for
 504         details: currently, the <literal>full</literal> or <literal>strict</literal> values are not
 505         supported.</para>
 506
 507         <xi:include href="version-info.xml" xpointer="v256"/></listitem>
 508       </varlistentry>
 509
 510       <varlistentry>
 511         <term><varname>SystemCallArchitectures=</varname></term>
 512
 513         <listitem><para>Takes a space-separated list of architecture
 514         identifiers. Selects from which architectures system calls may
 515         be invoked on this system. This may be used as an effective
 516         way to disable invocation of non-native binaries system-wide,
 517         for example to prohibit execution of 32-bit x86 binaries on
 518         64-bit x86-64 systems. This option operates system-wide, and
 519         acts similar to the
 520         <varname>SystemCallArchitectures=</varname> setting of unit
 521         files, see
 522         <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 523         for details. This setting defaults to the empty list, in which
 524         case no filtering of system calls based on architecture is
 525         applied. Known architecture identifiers are
 526         <literal>x86</literal>, <literal>x86-64</literal>,
 527         <literal>x32</literal>, <literal>arm</literal> and the special
 528         identifier <literal>native</literal>. The latter implicitly
 529         maps to the native architecture of the system (or more
 530         specifically, the architecture the system manager was compiled
 531         for). Set this setting to <literal>native</literal> to
 532         prohibit execution of any non-native binaries. When a binary
 533         executes a system call of an architecture that is not listed
 534         in this setting, it will be immediately terminated with the
 535         SIGSYS signal.</para>
 536
 537         <xi:include href="version-info.xml" xpointer="v209"/></listitem>
 538       </varlistentry>
 539
 540       <varlistentry>
 541         <term><varname>DefaultSmackProcessLabel=</varname></term>
 542
 543         <listitem><para>Takes a <option>SMACK64</option> security label as the argument. The process executed
 544         by a unit will be started under this label if <varname>SmackProcessLabel=</varname> is not set in the
 545         unit. See <citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 546         for the details.</para>
 547
 548         <para>If the value is <literal>/</literal>, only labels specified with <varname>SmackProcessLabel=</varname>
 549         are assigned and the compile-time default is ignored.</para>
 550
 551         <xi:include href="version-info.xml" xpointer="v252"/></listitem>
 552       </varlistentry>
 553     </variablelist>
 554   </refsect1>
 555
 556   <refsect1>
 557     <title>Timeouts and Rate Limits</title>
 558
 559     <variablelist class='config-directives'>
 560       <varlistentry>
 561         <term><varname>DefaultTimeoutStartSec=</varname></term>
 562         <term><varname>DefaultTimeoutStopSec=</varname></term>
 563         <term><varname>DefaultTimeoutAbortSec=</varname></term>
 564         <term><varname>DefaultRestartSec=</varname></term>
 565
 566         <listitem><para>Configures the default timeouts for starting, stopping and aborting of units, as well
 567         as the default time to sleep between automatic restarts of units, as configured per-unit in
 568         <varname>TimeoutStartSec=</varname>, <varname>TimeoutStopSec=</varname>,
 569         <varname>TimeoutAbortSec=</varname> and <varname>RestartSec=</varname> (for services, see
 570         <citerefentry><refentrytitle>systemd.service</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 571         for details on the per-unit settings). For non-service units,
 572         <varname>DefaultTimeoutStartSec=</varname> sets the default <varname>TimeoutSec=</varname> value.
 573         </para>
 574
 575         <para><varname>DefaultTimeoutStartSec=</varname> and <varname>DefaultTimeoutStopSec=</varname>
 576         default to &DEFAULT_TIMEOUT; in the system manager and &DEFAULT_USER_TIMEOUT; in the user manager.
 577         <varname>DefaultTimeoutAbortSec=</varname> is not set by default so that all units fall back to
 578         <varname>TimeoutStopSec=</varname>. <varname>DefaultRestartSec=</varname> defaults to 100 ms.
 579         </para>
 580
 581         <xi:include href="version-info.xml" xpointer="v209"/></listitem>
 582       </varlistentry>
 583
 584       <varlistentry>
 585         <term><varname>DefaultDeviceTimeoutSec=</varname></term>
 586
 587         <listitem><para>Configures the default timeout for waiting for devices. It can be changed per
 588         device via the <varname>x-systemd.device-timeout=</varname> option in <filename>/etc/fstab</filename>
 589         and <filename>/etc/crypttab</filename> (see
 590         <citerefentry><refentrytitle>systemd.mount</refentrytitle><manvolnum>5</manvolnum></citerefentry>,
 591         <citerefentry><refentrytitle>crypttab</refentrytitle><manvolnum>5</manvolnum></citerefentry>).
 592         Defaults to &DEFAULT_TIMEOUT; in the system manager and &DEFAULT_USER_TIMEOUT; in the user manager.
 593         </para>
 594
 595         <xi:include href="version-info.xml" xpointer="v252"/></listitem>
 596       </varlistentry>
 597
 598       <varlistentry>
 599         <term><varname>DefaultStartLimitIntervalSec=</varname></term>
 600         <term><varname>DefaultStartLimitBurst=</varname></term>
 601
 602         <listitem><para>Configure the default unit start rate
 603         limiting, as configured per-service by
 604         <varname>StartLimitIntervalSec=</varname> and
 605         <varname>StartLimitBurst=</varname>. See
 606         <citerefentry><refentrytitle>systemd.service</refentrytitle><manvolnum>5</manvolnum></citerefentry>
 607         for details on the per-service settings.
 608         <varname>DefaultStartLimitIntervalSec=</varname> defaults to
 609         10s. <varname>DefaultStartLimitBurst=</varname> defaults to
 610         5.</para>
 611
 612         <xi:include href="version-info.xml" xpointer="v209"/></listitem>
 613       </varlistentry>
 614
 615       <varlistentry>
 616         <term><varname>ReloadLimitIntervalSec=</varname></term>
 617         <term><varname>ReloadLimitBurst=</varname></term>
 618
 619         <listitem><para>Rate limiting for daemon-reload and (since v256) daemon-reexec requests. The setting
 620         applies to both operations, but the rate limits are tracked separately. Defaults to unset, and any
 621         number of operations can be requested at any time. <varname>ReloadLimitIntervalSec=</varname> takes
 622         a value in seconds to configure the rate limit window, and <varname>ReloadLimitBurst=</varname>
 623         takes a positive integer to configure the maximum allowed number of operations within the configured
 624         time window.</para>
 625
 626         <xi:include href="version-info.xml" xpointer="v253"/></listitem>
 627       </varlistentry>
 628     </variablelist>
 629   </refsect1>
 630
 631   <refsect1>
 632     <title>Environment</title>
 633
 634     <variablelist class='config-directives'>
 635       <varlistentry>
 636         <term><varname>ManagerEnvironment=</varname></term>
 637
 638         <listitem><para>Takes the same arguments as <varname>DefaultEnvironment=</varname>, see above. Sets
 639         environment variables for the manager process itself. These variables are inherited by processes
 640         spawned by user managers, but not the system manager - use <varname>DefaultEnvironment=</varname>
 641         for that. Note that these variables are merged into the existing environment block. In particular, in
 642         case of the system manager, this includes variables set by the kernel based on the kernel command line.
 643         As with <varname>DefaultEnvironment=</varname>, this environment block is internal, and changes are not
 644         reflected in the manager's <filename>/proc/PID/environ</filename>.</para>
 645
 646         <para>Setting environment variables for the manager process may be useful to modify its behaviour.
 647         See <ulink url="https://systemd.io/ENVIRONMENT">Known Environment Variables</ulink> for a
 648         descriptions of some variables understood by <command>systemd</command>.</para>
 649
 650         <para>Simple <literal>%</literal>-specifier expansion is supported, see below for a list of supported
 651         specifiers.</para>
 652
 653         <xi:include href="version-info.xml" xpointer="v248"/>
 654         </listitem>
 655       </varlistentry>
 656
 657       <varlistentry>
 658         <term><varname>DefaultEnvironment=</varname></term>
 659
 660         <listitem><para>Configures environment variables passed to all executed processes. Takes a
 661         space-separated list of variable assignments. See <citerefentry
 662         project='man-pages'><refentrytitle>environ</refentrytitle><manvolnum>7</manvolnum></citerefentry> for
 663         details about environment variables.</para>
 664
 665         <para>Simple <literal>%</literal>-specifier expansion is supported, see below for a list of supported
 666         specifiers.</para>
 667
 668         <para>Example:
 669
 670         <programlisting>DefaultEnvironment="VAR1=word1 word2" VAR2=word3 "VAR3=word 5 6"</programlisting>
 671
 672         Sets three variables
 673         <literal>VAR1</literal>,
 674         <literal>VAR2</literal>,
 675         <literal>VAR3</literal>.</para>
 676
 677         <xi:include href="version-info.xml" xpointer="v205"/></listitem>
 678       </varlistentry>
 679     </variablelist>
 680   </refsect1>
 681
 682   <refsect1>
 683     <title>Specifiers</title>
 684
 685     <para>Specifiers may be used in the <varname>DefaultEnvironment=</varname> and
 686     <varname>ManagerEnvironment=</varname> settings. The following expansions are understood:</para>
 687       <table class='specifiers'>
 688         <title>Specifiers available</title>
 689         <tgroup cols='3' align='left' colsep='1' rowsep='1'>
 690           <colspec colname="spec" />
 691           <colspec colname="mean" />
 692           <colspec colname="detail" />
 693           <thead>
 694             <row>
 695               <entry>Specifier</entry>
 696               <entry>Meaning</entry>
 697               <entry>Details</entry>
 698             </row>
 699           </thead>
 700           <tbody>
 701             <xi:include href="standard-specifiers.xml" xpointer="a"/>
 702             <xi:include href="standard-specifiers.xml" xpointer="A"/>
 703             <xi:include href="standard-specifiers.xml" xpointer="b"/>
 704             <xi:include href="standard-specifiers.xml" xpointer="B"/>
 705             <xi:include href="standard-specifiers.xml" xpointer="H"/>
 706             <xi:include href="standard-specifiers.xml" xpointer="l"/>
 707             <xi:include href="standard-specifiers.xml" xpointer="m"/>
 708             <xi:include href="standard-specifiers.xml" xpointer="M"/>
 709             <xi:include href="standard-specifiers.xml" xpointer="o"/>
 710             <xi:include href="standard-specifiers.xml" xpointer="v"/>
 711             <xi:include href="standard-specifiers.xml" xpointer="w"/>
 712             <xi:include href="standard-specifiers.xml" xpointer="W"/>
 713             <xi:include href="standard-specifiers.xml" xpointer="T"/>
 714             <xi:include href="standard-specifiers.xml" xpointer="V"/>
 715             <row>
 716               <entry><literal>%h</literal></entry>
 717               <entry>User home directory</entry>
 718               <entry>This is the home directory of the <emphasis>user running the service manager instance</emphasis>.</entry>
 719             </row>
 720             <row>
 721               <entry><literal>%u</literal></entry>
 722               <entry>Username</entry>
 723               <entry>This is the username of the <emphasis>user running the service manager instance</emphasis>.</entry>
 724             </row>
 725             <row>
 726               <entry><literal>%U</literal></entry>
 727               <entry>User id</entry>
 728               <entry>This is the user id of the <emphasis>user running the service manager instance</emphasis>.</entry>
 729             </row>
 730             <row>
 731               <entry><literal>%g</literal></entry>
 732               <entry>Primary group</entry>
 733               <entry>This is the primary group of the <emphasis>user running the service manager instance</emphasis>.</entry>
 734             </row>
 735             <row>
 736               <entry><literal>%G</literal></entry>
 737               <entry>Primary group id</entry>
 738               <entry>This is the primary group id of the <emphasis>user running the service manager instance</emphasis>.</entry>
 739             </row>
 740             <row>
 741               <entry><literal>%s</literal></entry>
 742               <entry>User shell</entry>
 743               <entry>This is the shell of the <emphasis>user running the service manager instance</emphasis>.</entry>
 744             </row>
 745             <xi:include href="standard-specifiers.xml" xpointer="percent"/>
 746           </tbody>
 747         </tgroup>
 748       </table>
 749   </refsect1>
 750
 751   <refsect1>
 752       <title>History</title>
 753
 754       <variablelist>
 755         <varlistentry>
 756           <term>systemd 252</term>
 757           <listitem><para>Option <varname>DefaultBlockIOAccounting=</varname> was deprecated. Please switch
 758           to the unified cgroup hierarchy.</para>
 759
 760           <xi:include href="version-info.xml" xpointer="v252"/></listitem>
 761         </varlistentry>
 762       </variablelist>
 763   </refsect1>
 764
 765   <refsect1>
 766       <title>See Also</title>
 767       <para><simplelist type="inline">
 768         <member><citerefentry><refentrytitle>systemd</refentrytitle><manvolnum>1</manvolnum></citerefentry></member>
 769         <member><citerefentry><refentrytitle>systemd.directives</refentrytitle><manvolnum>7</manvolnum></citerefentry></member>
 770         <member><citerefentry><refentrytitle>systemd.exec</refentrytitle><manvolnum>5</manvolnum></citerefentry></member>
 771         <member><citerefentry><refentrytitle>systemd.service</refentrytitle><manvolnum>5</manvolnum></citerefentry></member>
 772         <member><citerefentry project='man-pages'><refentrytitle>environ</refentrytitle><manvolnum>7</manvolnum></citerefentry></member>
 773         <member><citerefentry project='man-pages'><refentrytitle>capabilities</refentrytitle><manvolnum>7</manvolnum></citerefentry></member>
 774       </simplelist></para>
 775   </refsect1>
 776
 777 </refentry>