Механизм «Киоск-2» (системный киоск) ограничивает пользователя на уровне ядра системы, управляя доступом к конкретным файлам. Например, пользователь может быть ограничен запуском утилиты /usr/bin/cat для просмотра файла /etc/passwd. Этот механизм поддерживает создание профилей (например, «bash-ssh», «owner_home»), которые задают допустимые действия, а также режим глобальной записи для автоматического формирования профилей на основе действий пользователя (рисунок 1).