Systemd-nspawn (docker), mysqld --memlock

[krpsh]

Да было конечно. Можно и так сделать, но на мой взгяд, в данном случае удобней сделать отдельный сервис, т.к. изменение в запуске существенные.

[krpsh]

Это все очень хорошо, ansible и т.п., но в данном конкретном случае имеется: один админ, один сервер, один контейнер на сервере. А вот про systemctl mask спасибо что напомнили, все время упускаю этот момент, а ведь в данном случае это необходимо сделать (как вы правильно сказали - защита от дурака).