Ещё вариант - запилить демона который бы запускался рутом, слушал бы DBus и выполнял бы операции с nspawn которые требуют права рута. Единственное я не уверен смогу ли я сделать это безопасно.