Чем лучше полностью изолировать приложение с GUI, дав ему доступ к некоторым папкам?

Пока я пользуюсь nspawn, что в принципе позволяет:

sudo systemd-nspawn -D dev --bind=/tmp/.X11-unix:/tmp/.X11-unix --setenv=DISPLAY=:0 --bind=/run/user/1000/pulse:/run/user/host/pulse --setenv=PULSE_SERVER=unix:/run/user/host/pulse/native firefox

Звук есть, видео есть. Основное преимущество, Лиса изолирована и я могу её таскать туда где есть nspawn. В основном желание изолировать файлы, потому-что в безопасности я толком не разбираюсь.

Если есть желание, объясните как это делать с вяленым.

Спасибо.

 containers