ProtectSystem =
Принимает логическое значение или специальные значения "полный" или "строгий", Если это правда, монтирует / USR и / загрузки каталогов только для чтения процессов, вызываемых данным устройством. Если установлено "полный", Каталог / и т.д. установлен только для чтения, тоже. Если установлено "строгий" вся иерархия файловой системы монтируется только для чтения, для файловой системы API поддерев / разработчика, / Proc и / SYS (защитить эти каталоги, используя PrivateDevices =, ProtectKernelTunables =, ProtectControlGroups =) за исключением. Этот параметр гарантирует, что любое изменение поставщика поставляемого операционной системы (и при необходимости его конфигурации, и местных монтирует) запрещаются для службы. Рекомендуется включить этот параметр для всех давно запущенных служб, если они не связаны с обновлениями системы или необходимо изменить операционную систему другими способами.

ProtectHome =
Принимает логическое значение или "только для чтения", Если это правда, каталоги / дома, / корень и / бег / пользователь сделаны недоступными и пустой для процессов, вызываемых данным устройством.