在Ubuntu系统中，SELinux（Security-Enhanced Linux）是一种安全模块，用于增强Linux系统的内核安全。要使用SELinux限制用户权限，您需要首先确保SELinux已启用并正确配置。以下是一些建议：
确保SELinux已安装并启用：
要检查SELinux是否已启用，请运行以下命令：
sestatus
如果SELinux未启用，您可以使用以下命令启用它：
sudo apt-get install selinux-basics selinux-policy-default
sudo systemctl enable selinux
sudo systemctl start selinux
为用户分配角色：
SELinux使用角色来限制用户访问特定资源。您可以使用semanage login命令为用户分配角色。例如，要将用户username分配给角色user_r，请运行以下命令：
sudo semanage login -a -s user_r username
您可以使用semanage login -l命令查看所有用户及其分配的角色。
为文件和目录设置安全上下文：
SELinux使用安全上下文来定义文件和目录的访问权限。您可以使用semanage fcontext命令为文件和目录设置安全上下文。例如，要将文件/home/username/file.txt的安全上下文设置为user_home_t，请运行以下命令：
sudo semanage fcontext -a -t user_home_t "/home/username(/.*)?"
sudo restorecon -Rv /home/username
这将确保只有具有user_r角色的用户才能访问/home/username/file.txt文件。
使用SELinux策略限制进程：
您可以使用SELinux策略来限制特定进程的访问权限。例如，要限制名为myapp的进程只能访问/home/username目录，请创建一个新的策略文件，如/etc/selinux/targeted/contexts/files/file_contexts.local，并添加以下内容：
/usr/bin/myapp u:object_r:user_home_t:s0
然后，运行以下命令以应用更改：
sudo restorecon -Rv /usr/bin/myapp
监控SELinux拒绝：
当用户尝试访问受限资源时，SELinux会生成拒绝消息。您可以通过查看/var/log/audit/audit.log文件来监控这些拒绝：
sudo ausearch -m avc -ts recent
这将显示最近的SELinux拒绝事件，帮助您识别需要调整的策略。
请注意，SELinux配置可能会很复杂，因此在更改策略时要谨慎。在进行更改之前，请确保您了解SELinux的工作原理以及如何正确配置策略。如有必要，请查阅SELinux官方文档或寻求专业帮助。