feat: 对deepin-face服务进行安全加固

[ECQZXC]

对deepin-face服务进行安全加固

Task: https://pms.uniontech.com/task-view-361193.html

[deepin-ci-robot]

deepin pr auto review

关键摘要:

• 在debian/rules文件中，dh_auto_install命令的参数--prefix=/usr被重复添加，可能是不必要的。
• 在debian/tmpfiles文件中，新增的deepin-face.tmpfiles路径未遵循Debian的文件路径规范。
• 在msic/dbus-conf/org.deepin.dde.Face1.conf文件中，权限策略从root更改为deepin-daemon，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，服务用户从root更改为deepin-daemon，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ProtectSystem=strict，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ReadWritePaths=/var/log/deepin-face.log，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了DeviceAllow=char-video4linux，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了DevicePolicy=closed，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了NoNewPrivileges=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ProtectHome=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ProtectKernelTunables=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ProtectKernelModules=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了ProtectControlGroups=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了PrivateMounts=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了PrivateTmp=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了PrivateDevices=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了PrivateNetwork=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了PrivateUsers=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了RestrictNamespaces=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了LockPersonality=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了RestrictRealtime=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了RemoveIPC=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了MemoryDenyWriteExecute=yes，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了# 内存占用TODO，但未提供修改理由或上下文。
• 在msic/systemd/deepin-face.service文件中，添加了`#MemoryLimit=100M

[ECQZXC]

/merge

[deepin-bot]

This pr cannot be merged! (status: blocked)

[deepin-ci-robot]

[APPROVALNOTIFIER] This PR is NOT APPROVED

This pull-request has been approved by: ECQZXC, fly602, robertkill

The full list of commands accepted by this bot can be found here.

Needs approval from an approver in each of these files:

• debian/deepin/OWNERS

Approvers can indicate their approval by writing /approve in a comment
Approvers can cancel approval by writing /approve cancel in a comment

[ECQZXC]

/merge