禁止 apt 安装本地 deb 包

Question

我必须管理一堆 ubuntu 客户端，其中要求用户不能获得完全的 sudo 权限。

每个用户的要求都比较具体，所以我每天必须远程为他们安装十几次软件包。显然这并不理想。我想给他们 sudo apt install 权限（我知道如何将他们的 sudo 能力限制在该单个命令上），但我不想允许安装手动下载的 .deb 软件包。

软件包只能通过配置的存储库进行安装。

我阅读了一些有关 /etc/apt/preferences.d/ 文件的内容，并尝试了以下操作

# in a file called /etc/apt/preferences.d/block-local
Package: *
Pin: origin ""
Pin-Priority: -1

但这并不能阻止任何事情。有没有办法使用 apt/preferences 或任何其他配置来实现我的目标？谢谢！