Limita l'accesso a una directory specifica su Linux

Il lato positivo: sì, puoi farlo con SELinux. Il rovescio della medaglia - devi conoscere SELinux. :)

È possibile eseguire questi processi in diversi domini SELinux. Per esempio. chiamiamo due processi "privapp" e "unprivapp" - privapp è in grado di accedere a / var / lib / app / log e unprivapp non può accedere a / var / lib / app / log, nonostante sia in esecuzione come lo stesso utente.

Quindi, crei due domini privapp_t e unprivapp_t e etichetta gli eseguibili come privapp_exec_t e unprivapp_exec_t . Quindi etichetta / var / lib / app / log come var_lib_privapp_rw_t e indica che solo un processo in esecuzione come privapp_t è in grado di accedervi.

Questa è la parte facile - la parte difficile è esprimere quanto sopra nel linguaggio della politica, che è un po 'noto per guidare le lacrime agli uomini e alle donne. :)

Non penso che riuscirai a farlo solo con un singolo utente. La cosa più vicina a ciò di cui stai parlando è il modo in cui Android lo fa, e questo è semplicemente che ogni processo gira sotto il proprio utente, quindi può accedere solo ai propri file e file di quei processi che lo consentono accesso. I processi stessi non sono identità forti in nessun sistema che conosca.

Consiglierei di guardare in syslog remoto. In questo modo puoi essere sicuro che i registri non possono essere cancellati o manomessi.