[Unit]
Description=Tuxflotte Kundenplattform
After=network.target

[Service]
Type=simple
User=kundenplattform
Group=kundenplattform
WorkingDirectory=/opt/kundenplattform
EnvironmentFile=/etc/tuxflotte/kundenplattform.env
ExecStart=/opt/kundenplattform/.venv/bin/uvicorn app:app --host 0.0.0.0 --port 8081
Restart=always
RestartSec=3

# Härtung - läuft bewusst unter einem eigenen, unprivilegierten System-User
# statt root (anders als provisioning-server, siehe ADR-0011: exponiertere,
# kundenzugängliche Komponente).
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/opt/kundenplattform

[Install]
WantedBy=multi-user.target