Antes eu tentei fazer isso usando um usuário falso e iptables para executar comandos que precisam ser restritos. No entanto, agora os comandos precisam ler o conjunto de configurações de cada ambiente do usuário vars, então parece que isso não funciona mais.
O sistema operacional é um RedHat e parece que a única alternativa sólida é o SELinux. Há pouco sobre as melhores práticas para configurar as políticas do SElinux além da documentação básica e do tutorial na web. O que é uma maneira recomendada de implementar essa funcionalidade?