Restringir o usuário a aplicativos específicos e restringir a gravação, exceto ao usar aplicativos mencionados

Question

Estou tentando criar uma conta infantil.

Gostaria de criar uma conta de usuário que restringe todos os aplicativos por padrão, exceto uma lista específica de aplicativos, por exemplo, firefox, Yo Frankie, Numpty Physics, etc. Além disso, gostaria de deixar sua conta inteira como não -writable, com a exceção de que eles podem escrever se o aplicativo permitir que eles criem um documento. É claro que se o aplicativo que eles têm permissão para executar precisar gravar registros, por exemplo, isso também precisará ser ativado. O resultado esperado é que eles não seriam capazes de clicar com o botão direito do mouse na área de trabalho e criar um diretório ou documento. Eles podem baixar um executável, mas não executá-lo.

Como posso fazer isso?

    

Answer 1

AppArmor ou SELinux deve responder.

O AppArmor parece mais comum neste momento, mas você precisará cavar um pouco para encontrar informações sobre como configurá-lo para os usuários (a maioria dos tutoriais apenas menciona perfis de programas, não perfis de usuários). A documentação do AppArmor tem detalhes, particularmente o início rápido do idioma e a referência do idioma do perfil .

O nível de restrição que você deseja exigirá muitos testes e ajustes para acertar. Existem muitas permissões necessárias que não são imediatamente óbvias. Por exemplo, o Mozilla desejará registrar o histórico do navegador em algum lugar, e muitos programas colocam arquivos na hierarquia / tmp. Executar o aplicativo a partir de um prompt de comando geralmente produz uma saída de depuração útil, e o comando strace também pode ser útil.