MiksIr, я понимаю что lxc может быть перебором (и я бы не страдал фигней, если бы были другие стандартные решения), но тогда подскажите, как по другому и желательно без гемора с переписыванием 100500 конфигов полностью изолировать процесс php-fpm чтобы у него вообще не было доступа к системе а только к папке сайта (при условии что в настройках пхп разрешен запуск шелл скриптов т.е. нет никаких запрещенных функций) и чтобы у пользователя был доступ по sftp и тоже только до папки сайта?