Debian ограничение команд

Как запретить пользователю www-data выполнение команд? К примеру запретить выполнение всех команд кроме нескольких.