服务器特权进程沙箱化核心是按需授予权限，systemd通过protectsystem、privatetmp、nonewprivileges等配置实现最小权限启动，并结合网络隔离、capabilities精细化控制及privateusers增强隔离。
服务器特权进程沙箱化，核心不是“给 root 加锁”，而是让本需高权限运行的服务，只拿它真正需要的那一点权——哪怕进程 UID 是 0，也要对宿主机“视而不见”。
用 systemd 原生机制实现最小权限启动
systemd 提供了开箱即用的沙箱能力，无需 Docker 或额外容器运行时。关键配置写在 /etc/systemd/system/your-service.service 的 [Service] 段里：
-
ProtectSystem=strict：把/usr、/boot、/etc全部挂为只读，防止配置或二进制被篡改 -
ProtectHome=read-only：隐藏/home、/root、/run/user，避免密钥、凭证意外泄露 -
PrivateTmp=yes：服务独享/tmp和/var/tmp，不与其他进程共享临时文件 -
NoNewPrivileges=yes：禁止通过execve()获得新权限（比如运行 setuid 程序），堵住提权路径 -
RestrictSUIDSGID=true：不允许创建 SUID/SGID 文件，收窄本地提权面
按需收紧网络与内核访问
网络是多数攻击入口，别等出事再封端口，从启动就隔离：
-
PrivateNetwork=yes：服务一启动就进入独立网络命名空间，只能看到lo，真实网卡、主机端口、其他服务全不可见 -
RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6：显式放行仅需的协议族，禁用AF_NETLINK、AF_PACKET等高危类型 -
IPAddressAllow=127.0.0.1或IPAddressAllow=192.168.1.0/24：白名单控制可连 IP，搭配IPAddressDeny=any更稳妥 -
ProtectKernelTunables=yes和ProtectKernelModules=yes：禁止写/proc/sys、/sys，禁止加载/卸载内核模块
精细化控制 Linux capabilities
别一股脑给 CAP_SYS_ADMIN，只放行刚需能力：
- 需绑定 80/443 端口 →
CapabilityBoundingSet=CAP_NET_BIND_SERVICE，且确保ExecStart不带 setuid - 需挂载文件系统 →
CapabilityBoundingSet=CAP_SYS_ADMIN，但必须配合MountFlags=slave和ReadWriteDirectories=/mnt/myvol限定作用范围 - 显式剔除高危能力 →
DropCapability=CAP_SYS_CHROOT CAP_AUDIT_WRITE CAP_SYS_MODULE，比默认放行更可靠
启用用户命名空间增强隔离深度
即使进程以 root 运行，也让它无法感知宿主用户体系：
-
PrivateUsers=yes：启用 user namespace，服务看到的是映射后的 UID/GID，对真实/etc/passwd完全不可见 - 配合
User=和Group=显式指定非 root 用户（推荐），进一步降低风险面
不复杂但容易忽略
