Odpověď na názor

FlatPacky nejsou špatné, osobně mi připadnou jako rozumná alternativa, ale přijde mi, že tak nějak předpokládají, že uživatelem je administrátor. Viz právě to přidělování práv. (IMHO se o tyhle věci uživatel starat nemá, natož abych mu musel delegovat práva.) Na jednouživatelském stroji bych jim asi dal šanci.

Takhle mi to nepřijde. Od začátku to právě počítá s více možnostmi používání a je to, podle mě, docela vymakané.

Můžete je instalovat jen pro všechny uživatele, a nedovolit normálnímu uživateli přidávat ani aktualizovat žádné aplikace. To je většinou i výchozí nastavení, třeba balíček flatpak na Suse, má polkit pravidla tak, že to povoluje jen uživatelům ve skupině wheel, ale můžete to dalšími pravidly upravit úplně dle libosti. Na Ubuntu je to zas skupina sudo.
Tohle je myslím asi to, co většina lidí očekává. Software spravují jen administrátoři, ale pokud je tam jen jediný přidaný účet v systému, má většinou také administrátorská práva.
Zároveň je na Suse připravený, ale neaktivní systemd timer, co spouští globálně: /usr/bin/flatpak --system update -y --noninteractive
Stačí ho zapnout a naplánovat podle potřeby.

Pokud pak chcete kombinaci, tzn. aby uživatelé měli k dispozici systémové (sdílené) aplikace, do kterých nemůžou sahat, ale zároveň si mohl nainstalovat něco jen pro sebe, tak to jde taky.
Jestliže uživatel používá příkaz flatpak z terminálu, mělo by stačit v shellu udělat alias, na flatpak, aby se to používalo s direktivou --user na konci. První pak přidat uživatelský repozitář na flathub přes flatpak remote-add. A pak už to normálně jede a všechno, co udělá, bude pouze u něj v profilu.
Samozřejmě pokud tam bude závislost na nějakém runtime, který už bude jednou nainstalovaný pro všechny, tak se nestahuje.
V případě, že pak používá např. GNOME software s pluginem pro flatpak, jde to taky, když se v u něj nastaví:
gsettings set org.gnome.software install-bundles-system-wide false (výchozí hodnota je true a chce to přihlášení, viz. to co jsem zmiňoval).
Všechny tyhle kroky se dají udělat samozřejmě udělat automaticky, když se vytváří nový profil nebo po nějaké jeho inicializaci.