root権限保有者に仮想OSのIPアドレスを変更させたくない

質問

root権限保有者に仮想OSのIPアドレスを変更させたくない
XenServer5やVMWareESXi4などの無償版を使って仮想化プラットフォームを用意し、これらにLinuxやWindowsなどのVMを複数動作させる場合の質問です。
IPアドレスが他のVMとコンフリクトするなどのトラブルを避けるために（またそれ以外のトラブルを防ぐために）VMのネットワーク設定を変更できないようにして複数の利用者に提供したいと考えています。
しかしながら、提供先からはシェルアクセスをrootで要求された場合、これを抑制することは可能でしょうか？
ご存じの方がいらっしゃれば、お教えください。

回答No.2

uwi

LinuxならSELinuxで対処できませんか？
WindowsはActive Directoryで対処できるかも…

お礼

ご指摘ありがとうございます。

Windowsはよく分からないのですが、SELinuxを使うという方法は考えませんでした。
SELinuxを動かすと現在提供しているVMアプライアンスの中には動かなくなるものがあるため、実際にはできないのですが、勉強してみようと思います。

OSレベルで対応するとなるとやはり大変なため、ネットワークレイヤーでの手法しかないかなと考えております。

ご指摘ありがとうございます。

回答No.1

mimzy

考え方が本末転倒です。
root権限とはシステムすべての操作権限を与えるものです。
rootパスワードを知られている以上どうしようもありません。
新たなグループ分けするなり別の方法を考えましょう。

補足

説明不足でした。
専用レンタルサーバーなどでrootを渡す所がありますが、おそらく何らかの対応を取っているんだろうと思っています。
OSレベルではなく（MACとIPのペアなどで）L3で制限しているのだと想像しているのですが、ネットワークも含めたシステム総体で利用者による（管理者にとって）不都合な変更を抑止する方法をご存じではないでしょうか？