[Unit]
Description=CHV authd (credential broker for chv-sync)
# 注意时序：本服务须在 chv-sync boot 之前就绪。cloud-final 的
# runcmd（99-chv-sync.cfg）在 chv-sync boot 之前显式
# `systemctl start chv-authd`；这里不依赖 After=cloud-final
#（cloud-final 跑完才 After 得到它，太晚）。enable 后开机自启
# 只是兜底，首启顺序以 runcmd 的显式 start 为准。
After=network-online.target

[Service]
Type=simple
# authd 跑在运行时单元之外（root 身份）：它是凭证的唯一持有者，
# 单元内的 agent 只能经 Unix socket + SO_PEERCRED 向它要凭证，
# 读不到它的内存与 seed 文件（P2 单元隔离落地后）。
ExecStart=/usr/bin/python3 /usr/local/bin/chv-authd
Restart=on-failure
RestartSec=2
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target