Sandboxing Chrome (или другой браузер)

Я хочу запустить Chrome с зашифрованным домашним каталогом (Ubuntu), но я хочу убедиться, что ничего не выходит за пределы зашифрованного каталога, такого как / tmp. Как я могу этого добиться? Аппармур? Запускаете приложение с графическим интерфейсом в докере? Желательно не ВМ. Как я могу проверить, что он работает?