# =============================================================================
# barox SecPen - Health-Monitoring und automatischer Abbruch
# Ablage: /etc/systemd/system/barox-secpen-health.service
#
# Laeuft bewusst als eigener Dienst: Selbst wenn der Scan-Worker haengt,
# werden Messungen fortgesetzt und Grenzwertverletzungen fuehren weiterhin
# zum automatischen Abbruch.
# =============================================================================
[Unit]
Description=barox SecPen Health Monitor
After=network-online.target mariadb.service mysql.service
Wants=network-online.target

[Service]
Type=simple
User=www-data
Group=www-data
WorkingDirectory=/var/www/html/barox-secpen

ExecStart=/usr/bin/php artisan barox:health-tick --loop

Restart=always
RestartSec=5
TimeoutStopSec=30

NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/var/www/html/barox-secpen/storage /var/lib/barox-secpen
RestrictSUIDSGID=true
LockPersonality=true
# ICMP-Messung ueber /bin/ping benoetigt in der Regel keine Zusatzrechte
# (setcap auf ping ist distributionsseitig gesetzt).
AmbientCapabilities=CAP_NET_RAW
CapabilityBoundingSet=CAP_NET_RAW

StandardOutput=append:/var/log/barox-secpen/health.log
StandardError=append:/var/log/barox-secpen/health-error.log

[Install]
WantedBy=multi-user.target