Scope
This original IROSG guide covers مدیریت سرویس و sandboxing در systemd using the cited primary documentation.
Core model
systemd فقط جایگزین یک init script نیست. Unit graph، socket activation، timer، mount و dependencyها را در یک مدل واحد قرار می‌دهد. همین مدل اجازه می‌دهد startup قابل پیش‌بینی‌تر و hardening سرویس granularتر شود.
Practical workflow
با systemctl cat و systemctl show اول unit مؤثر را ببینید؛ بعد systemd-analyze security را به‌عنوان سرنخ استفاده کنید، نه حکم قطعی. هر ProtectSystem، PrivateTmp یا RestrictAddressFamilies باید با رفتار واقعی سرویس تست شود.
Failure modes
امتیاز systemd-analyze security تضمین امنیت نیست. فعال‌کردن کورکورانهٔ گزینه‌ها هم می‌تواند سرویس را بشکند. باید نیاز فایل‌سیستم، شبکه، helper process و capabilityها را بشناسید.
Lab
یک service ساده HTTP بسازید، baseline بگیرید و hardening directiveها را یکی‌یکی اضافه کنید. بعد هم test مثبت و هم test منفی اجرا کنید تا مطمئن شوید کاهش privilege واقعی است.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
