[Debian] Kako omejit, kam lahko dostopa lokalni user account?

Dobro jutro.

Evo, tokrat je pa izziv bolj sistemske narave.

Namreč, kako omejit lokalni user account, da bo imel dostop samo do:
- direktorija /var/neki/ (rwx)
- možnost zagnat python interpeter (/usr/bin/python3.9), ter skripto iz zgoraj omenjenega direktorija
- možnost dostopa do network-a (http get)
- možnost dostopa do lokalne baze (tcp port 3306)

Vse ostalo pa, da je onemogočeno.

Kot primer. Trenutno se navaden user lahko sprehodi do nginx config fajlov in jih bere. I don't like that.


Na internetih sem našel dosti primerov, ki so mišljeni, ko se nekdo poveže preko SSH. A to ni to.

Gre za primer, ko npr. zaženeš proces pod drugim accountom in ta ni vezan na SSH.

userji, grope in chmod, chown komanda .