1. Du sperrst sämtlichen Inetverkehr und legst fest, dass nur Programme mit einer bestimmten Hauptgruppe (--gid-owner) oder eines bestimmten Nutzers (--uid-owner) nach aussen können.
2. Du legst mit sudoers fest, welche Programme (mit Vollpfad) das sind. (Kann auch ein schreibgeschütztes Shellscript sein.)
Resourcenbegrenzung kannst du mit "ulimit" machen. Der Wechsel in die Hauptgruppe muss natürlich angestossen werden. (Z.B. mit "sg" oder "newgrp".) Die Befehle "id" oder "groups" geben dazu Auskunft und zeigen dir den Wechsel an. (Achtung, die beiden Befehle "sg" und "newgrp" wechseln in ein neues Environment, d.h. in einem Shellscript immer den auszuführenden Befehl dahinter angeben. Andernfalls funktioniert es nicht, da bei einer nicht interaktiven Shell das Environment, aufgrund des fehlenden Eingabehandle, sofort wieder geschlossen wird. Die Befehle
echo "sg <neuegruppe> -c id;" | bash
und
echo "sg <neuegruppe>; id;" | bash
liefern für die gid unterschiedliche Werte.)