> 3. Каждому юзеру по виртуальной машине.  
то есть, каждому юзеру по хосту и по отдельной папочке, выше которой доступа нет?
например,
/home/vasya/
/home/petya/

если в /home/ vasya подняться не может, то и его скрипт не может записать что-то в /home/petya
и здесь даже не так важно, кто овнер скрипта?
правильно я понимаю?