Служба с минимальными правами

Насколько служба ограничена, не держат в голове — это считает systemd.

systemd-analyze security <юнит> проходит по настройкам службы и ставит оценку от 0 до 10: чем меньше, тем больше ограничений. Без User= и защит оценка у службы около 9.6 и пометка UNSAFE; строки из прошлых шагов её снижают. Ключ --threshold=N добавляет к оценке проверку: код выхода не ноль, если оценка выше порога. Порог пишут в десятых долях — оценка 9.6 это 96, а --threshold=50 пропускает службы с оценкой до 5.0 (в Вики). Так проверку ставят в скрипт.

У root одна общая власть, но её можно раздать по частям — это возможности (capabilities). Служба, которой нужен только порт ниже 1024, получает одну возможность CAP_NET_BIND_SERVICE вместо прав root:

[Service]
User=gate
AmbientCapabilities=CAP_NET_BIND_SERVICE
CapabilityBoundingSet=CAP_NET_BIND_SERVICE

AmbientCapabilities выдаёт возможность процессу, CapabilityBoundingSet оставляет только её в списке допустимых — остального у службы нет, даже если она попросит.