Самый Ъ способ организовать «песочницу»

https://groups.google.com/forum/#!topic/docker-user/v9YwFL_xytg

спасибо, годно

Почему бы не использовать обычный chroot?

Надо собирать для него окружения. Вот кстати, то что мне нужно:

http://habrahabr.ru/company/centosadmin/blog/212833/

http://aboutubuntu.ru/content/chroot-vs-lshell-and-mysecureshell.html

FYI: kornshell умеет restricted, если его запустить как rksh.

more info: http://genoverly.com/articles/16/

PS: bash тоже умеет — rbash

о, спс, порпобуем-с

Мля, один ответ круче другого - docker, rbash... когда решение описано в хедпосте.

Всё это прекрасно, но чрут надёжнее. Впрочем, смотря что нужно разрешать твоим юзерам. Если только просмотреть логи/скопировать файлы-это одно, а если нужно иметь доступ ко всему, кроме пары тёмных углов-это другое.

Надо собирать для него окружения

собрал 1 раз окружение а дальше копируешь
Я слышал, что в openbsd вроде как тоже есть jails

bash restricted ограничивает только переход между каталогами, но не доступ, например, на чтение. Таким образом, пользователь может просматривать файлы с паролями или что-то подобное.

не нужно хранить пароли в файлах.

А если есть приложение, которое чисто архитектурно написано так, что в файлах могут храниться пароли, например, так делает tomcat. Что тогда? Слить всем подряд пароль от базы, который лежит в context.xml?

а что вы скажете про sqlite? =)

Всегда можно использовать ключи. Но да, приложение придёться доработать.

Какая разница-то?

Попробуйте firejail.

Бгг, да ты просто любитель докера

Бгг, да ты просто любитель докера

Наверное, я еще и любитель rbash.