> Ну да, а потом уязвимость в системе изоляции, позволяет убежать из этого
> неймспейса. Видели и не раз. Рассказывайте как оно должно быть, а
> не как есть дальше.

Намного лучше если сервис совсем не изолирован и запускается как есть, видимо :). Не, извините, отдельная помойка с отдельной иерархией - это уже совсем не zero cost по ресурсам и менеджменту. Это довольно многое меняет.

Соответственно сие - весьма прикольный баланс ибо довольно неплохая защита, пусть и со своими компромиссами, образуется по сути - нашару. Майнтайнеру несколько строк в конфиг прописать - и все. По ресурсам ничего не стоит, как и по менеджменту. А если админ хочет что-то там изменить, он может перекрыть дефолтовый юнитфайл системды из системных дир своим, в /etc. И система учтет мнение админа по этому поводу.

Пакетник же притаскивает только дефолтную версию юнита в /usr - так что система может предложить админу дефолты. Но никогда не трогает оверрайды в /etc - так что они приоритетнее дефолтов, и ни при каких условиях не выносятся пакетником.

Вот это - пример нормальной интеграции с пакетником. Кстати заметьте, конкретный тип пакетника при этом пофиг. Интеграция на уровне соглашений о размещении файлов и путей в основном.