Запрет пользователям запускать программы

Посмотри как сделано в дебиане. Например, fdisk, shutdown/halt/reboot — при запуске от пользователя оболочка просто ругается, что их «нет в природе».

Там просто /sbin нет в path, это совсем не выход.

Полагаю, что это из-за того, что fdisk, shutdown/halt/reboot лежат в /sbin, который пользователю в PATH не вписан.

alinak86 а покажи ещё
getfacl /bin/ping
и
getcap /bin/ping

Пингу нужен либо CAP_NET_RAW, либо права рута — иначе он не сможет слать ICMP пакеты. Ты своими телодвижениями сбросил капы, и CAP_NET_RAW отвалился — поэтому у тебя без суида и перестало работать.

Убери суид бит, поставь права как надо, и поставь CAP_NET_RAW. И будет тебе хорошо.

Прикольно, даже не знал про такую вещь как capabilities у файлов.

Почему-то в учебниках по никсам много пишут про юникс-права, группы, пользователи, а о таких вещах надо случайно узнавать.

очень древние учебники, значит. А если в новых про это писать - то как курсы продавать?

Потому что capabilities относительно (очень относительно) свежие (и нужны в т.ч. для того, чтобы рутовый суид каждому пингу не давать), а твои учебники по никсам написаны в очень хвостатые года.

Почему-то в учебниках по никсам много пишут про юникс-права, группы, пользователи, а о таких вещах надо случайно узнавать.

А ты возьми учебник по linux, ещё и про cgroups узнаешь.

Задача - сделать так, чтобы определенные программы запускались только от администратора, от группы администраторов.

Используй sudo, и алиасы User_Alias и Cmnd_Alias подробнее тут

Но почему до этого всё работало без SUID bit?

Арчик делает так:

setcap cap_net_raw=ep usr/bin/ping 2>/dev/null || chmod +s usr/bin/ping

Тут setcap лучше чем chmod.