Там есть тонкое место, все операции с пользователями и группами под linux делаются с root правами, а пользователь на удаленной машине не должен иметь root прав, только права на работу с пользователями, поэтому там будет некий протокол чтобы вызвать скрипт. Я отпишу как это предлагаю сделать при решении задачи в канале "техно лаборатория"

А я думал что не так понял задачу. Ну ок, посмотрим.

Есть setuid и sudo для того чтобы делать обычным пользователем необычные вещи.

Эти две вещи наделяют пользователя root правами на действия на Linux машине, а это запрещено в ТЗ, такие требования встречаются на ИБ софта в отраслях, например энергетики, системах промышленной автоматизации

Setuid не наделяет пользователя никакими правами, так что с точки зрения ТЗ все хорошо )

Но есть момент, чтобы выполнить например adduser нужно будет в setuid установить user-id-root и вот наш lunux процесс стал root

Ну так чтобы поменять пассворд файл процессу надо иметь права в любом случае. Но пользователь при это прав не имеет. А в процессе можно гибко ограничивать возможные изменения.

Ну или надо сбоку приделать ещё одну систему аутентификации, керберос там или лдап или ещё что нибудь самописное с персональной базой. Но есть риск что самописное решение будет менее защищено.