Этот файл недоступен для обычных пользователей PAM, только для www-data и root.

Не существует привилегии, которая бы позволяла создавать, но запрещала удалять. Если вам нужна защита от случайного удаления, можно защитить ВМ, чтобы их нельзя было удалить до тех пор, пока вручную не снимите эту защиту. С точки зрения безопасности это не совсем то, что вам нужно, но, возможно, решает проблему, с которой вы хотите справиться.

Гости не владеют PVE, но можно настроить ACL, которые ограничены определенными гостями или пулами и гостями, содержащимися в них.

Роль "Administrator" — самая привилегированная встроенная, но есть несколько действий, разрешенных только для root@pam или требующих прав, выходящих за рамки стандартного набора Administrator.

Это невозможно, есть только один пользователь root@pam. Мы (по одному) переносим оставшиеся действия, для которых требуется этот уровень привилегий, на другие механизмы, которые могут быть активированы для обычных пользователей (и токенов). Например, передача PCI и USB, которая раньше была доступна только пользователю root, теперь имеет свою конфигурацию с разными уровнями привилегий, которые можно выдавать произвольным пользователям/группам.

Вот что получилось:

Попробуй вот это: вытащи первые строки из /etc/passwd для root, сделай дубликат в одну строку и дай другое имя, возможно, с другим shell. Потом запусти "pwconv" и установи новый пароль "passwd thunder".
root:x:0:0:root:/root:/bin/bash
thunder:x:0:0:root:/root:/bin/tcsh
После этого у тебя будет другая учетная запись с теми же правами.