如何使用 bubblewrap 将应用程序隔离到单个目录但访问其他所有内容？

Question

假设我有一些软件，$HOME/myapp我想单独运行，防止它访问我的主目录中的其他任何内容，但能够访问网络、视频、音频。

我尝试使用 bubblewrap 来做到这一点，但不知道如何做。我不断收到错误。下列的本教程，我到达：

#!/bin/sh

bwrap \
        --ro-bind /usr /usr \
        --ro-bind /etc /etc \
        --ro-bind /proc /proc \
        --ro-bind /dev /dev \
        --tmpfs /var \
        --tmpfs /tmp \
        --tmpfs /run --dir /run/user/$UID \
        --dev /dev \
        --proc /proc \
        --unshare-all --share-net \
        --bind $HOME/myapp $HOME \
        "$@"

我尝试这个脚本，但运行 bash，这样我就可以检查绑定的文件系统。但如果我跑步script.sh bash，我就会得到bwrap: execvp bash: No such file or directory。最终，我想$HOME/myapp/myexecutable在$HOME/myexecutable沙箱内运行。

我缺少什么？