| 用途 | 给服务加最小权限约束 |
|---|---|
| 语法 | [Service] Protect*/Private*/Restrict* 指令 |
| 所属 | systemd |
渐进加固示例
渐进加固示例
[Service]
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/var/lib/myapp /var/log/myapp
ProtectKernelTunables=true
RestrictSUIDSGID=true验证
验证
systemctl daemon-reload && systemctl restart myapp
systemctl status myapp | grep -i -E 'protect|private' ; journalctl -u myapp -n 50加固选项可能让服务因路径只读/受限而失败：每次只加一两项并回归测试，别一次性全开。