ограничить rsync (или сценарий bash) каталогом

после плохой аварии с rsync, удаляющей неправильные файлы из-за неправильного параметра назначения, я хочу ограничить rsync (или скрипт bash, запускающий его), чтобы иметь возможность удалять/изменять файлы только в определенном каталоге.
Я тоже подумал:

1. создать и запустить rsync / script под пользователем, который имеет права доступа только к этому каталогу. Проблема здесь: как я использую / создаю такого пользователя динамически? (Это часть скрипта сборки, который должен "просто работать" для других пользователей).
   
   

2. убедитесь, что пути назначения, заданные rsync, находятся в определенном каталоге. Кажется, направление использует test команда, но я не мог понять, как использовать его правильно, и это не так безопасно, так как тест параметра path все еще может выйти из синхронизации с фактическим запускаемым параметром path, поэтому я думаю, что (1) более надежен.