Если кто не знал, а я вот не знал, systemd умеет в секреты! Нечего пихать пароли в Environment/EnvironmentFile, а нужно использовать LoadCredential/LoadCredentialEncrypted

Менеджер сервисов systemd поддерживает концепцию "учетных данных" для безопасного получения и передачи учетных данных системам и службам.
Точный характер учетных данных зависит от приложений, но концепция предназначена для предоставления системам и службам потенциально важных для безопасности криптографические данных, такие как: ключи, сертификаты, пароли, идентификационные данные и аналогичные типы информации.

#systemd #security #secrets

https://www.freedesktop.org/software/systemd/man/latest/systemd.exec.html#Credentials - коротко по делу
https://systemd.io/CREDENTIALS/ - подробно и с примерами