Systemd Verzeichnisse als schreibgeschützt oder für Dienste nicht zugänglich machen

• Mit den Optionen ReadOnlyDirectories= und InaccessibleDirectories= ist es möglich, die angegebenen Verzeichnisse zum Schreiben bzw.
• Schreiben unzugänglich zu machen. sowohl Lesen als auch Schreiben an den Dienst:

...
[Service]
ExecStart=...
InaccessibleDirectories=/home
ReadOnlyDirectories=/var
...

• Mit diesen beiden Konfigurationszeilen wird der gesamte Baum unterhalb von /home für den Dienst unzugänglich (d. h. das Verzeichnis erscheint leer und im Zugriffsmodus 000), und der Baum unterhalb von /var wird schreibgeschützt.
• Vorbehalt: Beachten Sie, dass ReadOnlyDirectories= derzeit nicht rekursiv auf Submounts der angegebenen Verzeichnisse angewendet wird
• (d. h. Mounts unter /var im obigen Beispiel bleiben beschreibbar).
• Dies wird wahrscheinlich bald behoben.
• Intern wird dies ebenfalls auf Basis von Dateisystem-Namensräumen implementiert.