Como eu limitaria as permissões sudo dos usuários para journalctl a uma unidade específica?

Question

Eu quero fornecer aos nossos usuários acesso a journalctl de uma unidade específica. Por exemplo, httpd . Meu pensamento inicial foi especificar a especificação do comando assim:

/usr/bin/journalctl -u httpd.service *

Isso lhes dará acesso a opções úteis, como --all , --full , --follow , etc. No entanto, rapidamente percebeu que também permitiria que eles especificassem uma unidade diferente (por exemplo, -u tomcat ) .

Especificar cada uma das opções aceitáveis é a única maneira de fazer isso? Ou posso aproveitar algo como ACLs em um arquivo para acesso mais granular?