Название говорит само за себя: приложение будет запускаться в специальном окружении с ограниченными возможностями. Например, без возможности использования сети, создания файлов и т.д.
Для определения полномочий будет использоваться SELinux политика sandbox_t. По ссылке есть простой пример использования утилиты.
>>> Подробности
