[Unit]
Description=Scert-admin 临时密码重置入口激活器
Documentation=file:///scert/docs/Scert-admin-service-management.md
After=Scert.service
Requisite=Scert.service
ConditionPathExists=/scert/conf/scert.json

[Service]
Type=oneshot
RemainAfterExit=no
User=root
Group=root
WorkingDirectory=/scert
RuntimeDirectory=scert-admin
RuntimeDirectoryMode=0700
ExecStart=/scert/scert-admin
KillSignal=SIGTERM
TimeoutStartSec=130s
TimeoutStopSec=5s
KillMode=mixed
Restart=no
UMask=0077
NoNewPrivileges=yes
CapabilityBoundingSet=CAP_SYS_PTRACE CAP_DAC_OVERRIDE
AmbientCapabilities=
PrivateTmp=yes
PrivateDevices=yes
PrivateNetwork=yes
ProtectHome=yes
ProtectSystem=strict
ProtectHostname=yes
ProtectClock=yes
ProtectKernelTunables=yes
ProtectKernelModules=yes
ProtectControlGroups=yes
ProtectKernelLogs=yes
LockPersonality=yes
MemoryDenyWriteExecute=yes
RestrictNamespaces=yes
RestrictRealtime=yes
RestrictSUIDSGID=yes
RemoveIPC=yes
SystemCallArchitectures=native
ReadWritePaths=/run/scert-admin
DeviceAllow=char-pts rw
RestrictAddressFamilies=AF_UNIX

# Scert-admin 不监听任何 TCP/UDP 端口，只维护主服务 /reset 路径的短时激活租约。
# 刻意不提供 [Install] 段，禁止通过 systemctl enable 纳入开机启动。
# 不配置 ExecReload，reload 不属于受支持的控制操作。

# 当前实现通过本机 Socket 交互，不再维护旧注释中描述的 Web 重置入口。
# 管理程序使用 root 读取显式启动者的终端；只保留终端访问及本机 Socket 所需能力。
# 新密码和验证码只在调用终端输入，不写入文件、命令参数或服务日志。