second commit

ansible/roles/guacd/templates/guacd.service.j2

@@ -0,0 +1,20 @@
+; Hardening-Override fuer die vom Debian/Ubuntu-Paket mitgelieferte
+; guacd.service (Konzept 8.2). Nur lokale Kommunikation zur App (Unix-Domain
+; oder localhost) sowie ausgehend RDP zu den Zielsystemen.
+[Service]
+NoNewPrivileges=true
+ProtectSystem=strict
+ProtectHome=true
+PrivateTmp=true
+PrivateDevices=true
+ProtectKernelTunables=true
+ProtectKernelModules=true
+ProtectControlGroups=true
+RestrictNamespaces=true
+RestrictAddressFamilies=AF_UNIX AF_INET AF_INET6
+RestrictSUIDSGID=true
+MemoryDenyWriteExecute=true
+LockPersonality=true
+CapabilityBoundingSet=
+ReadWritePaths=/var/lib/jumphost/rdp-drives
+UMask=0077