[Unit]
Description=Risk-Layer konsistentes Festwissen-Backup

[Service]
Type=oneshot
EnvironmentFile=%h/.config/risk-layer/backup.env
ExecStart=/usr/bin/python3.12 -I ${RISK_LAYER_RELEASE_TOOLS} ops --config ${RISK_LAYER_OPS_PROFILE} backup
UMask=0077
Nice=10
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=full
ProtectHome=read-only
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectKernelLogs=true
ProtectControlGroups=true
ProtectClock=true
LockPersonality=true
RestrictRealtime=true
RestrictSUIDSGID=true
RemoveIPC=true
CapabilityBoundingSet=
RestrictAddressFamilies=AF_UNIX

# Profilierte Berater- und Off-host-Pfade werden nicht per systemd privilegiert;
# die User-Unit erhält ausschließlich die normalen Rechte des Dienstbenutzers.