Как ограничить доступ пользователю ко всем директориям кроме необходимых в centos 8

ACL, если не хватает обычных прав Unix.

И ты уверен насчет никакого доступа, даже на чтение? Потому что лишив возможности чтения и запуска ПО из /usr, ты сделаешь практически невозможным работу в системе вообще, и т.п.

Поставь твоему пользователю нестандартный шелл, например rbash, который позволяет настроить подобные ограничения.

А вообще, обычный, только что созданный пользователь и так не имеет прав что-либо напартачить за пределами домашнего каталога без разрешенного su/sudo. Но запускать всякую непонятную ему фигню - да, может.

пользователь только файлики будет обновлять в своих каталогах по ssh!

пользователь только файлики будет обновлять в своих каталогах по ssh!

Каким именно образом планируется это делать? Если зарубить всё, тогда он сможет только копировать на хост новые версии файликов по scp, без возможности что-то с ними делать на самом хосте.
Кстати, сам по себе логин по ssh - это исполнение шелла, которое нужно тоже разрешать.

Сори, он будет через допустим VSCODE подключаться и работать там,sftp протокол

может этот man поможет.

chroot? firejail? docker? kvm? ftp? git!?

LMGTFY

Спасибо всем за ответы!

Классика это создание минималистичного окружения с необходимым и достаточным ПО, настройка в нем прав доступа DAC, и chroot в этот каталог при входе пользователя в систему. Сегодня есть контейнеры м виртуализация, но это больше о удобстве администрирования чем о безопасности и изоляции.