针对你的需求，我整理了几个更安全的方案，既能实现虚拟机关闭时宿主机自动关机，又不用放开全局免密sudo权限，完全符合最小权限原则：

方案1：精细化配置sudoers规则（最易实现） #

不要给所有用户开放免密权限，而是仅授权LXC容器对应的宿主机用户执行poweroff命令，同时限制命令的绝对路径避免被劫持：

1. 先确定容器对应的宿主机用户：执行lxc-info -n <你的容器名> | grep User，非特权容器默认会映射到宿主机的一个普通用户（比如lxc-myvm）
2. 用visudo编辑sudoers文件（绝对不要直接编辑/etc/sudoers），添加一行：

   lxc-myvm ALL=(ALL) NOPASSWD: /sbin/poweroff
   

   把lxc-myvm替换成你查到的容器对应用户，/sbin/poweroff用绝对路径防止命令被篡改
3. 在LXC的post-stop钩子脚本里，直接调用sudo /sbin/poweroff即可，只有这个特定用户能免密执行关机，其他用户无权限

方案2：通过systemd DBUS接口授权（无需sudo） #

利用systemd的DBUS接口执行关机，给特定用户授权对应的DBUS权限，完全不需要sudo：

1. 在宿主机创建DBUS规则文件/etc/dbus-1/system.d/org.freedesktop.login1.conf，添加内容：

   <busconfig>
     <policy user="lxc-myvm">
       <allow send_destination="org.freedesktop.login1"/>
       <allow send_interface="org.freedesktop.login1.Manager"
              send_member="PowerOff"/>
     </policy>
   </busconfig>
   

   同样替换lxc-myvm为容器对应的宿主机用户
2. 重启DBUS服务生效：systemctl restart dbus
3. 在post-stop钩子脚本里，用DBUS命令触发关机：

   dbus-send --system --print-reply --dest=org.freedesktop.login1 /org/freedesktop/login1 org.freedesktop.login1.Manager.PowerOff boolean:true
   

方案3：自定义守护进程监听触发信号（权限隔离最彻底） #

如果上面两种方案还是觉得不够安全，可以在宿主机跑一个root权限的守护进程，监听特定触发信号，只有容器用户能触发这个信号：

1. 写一个简单的bash守护脚本/usr/local/bin/shutdown-daemon.sh：

   #!/bin/bash
   SIGNAL_FILE="/var/run/shutdown-trigger/allow-poweroff"
   mkdir -p /var/run/shutdown-trigger
   chown lxc-myvm:lxc-myvm /var/run/shutdown-trigger
   rm -f "$SIGNAL_FILE"
   
   while true; do
     if [ -f "$SIGNAL_FILE" ]; then
       rm -f "$SIGNAL_FILE"
       poweroff
     fi
     sleep 2
   done
   

2. 给脚本加执行权限：chmod +x /usr/local/bin/shutdown-daemon.sh
3. 创建systemd服务文件/etc/systemd/system/shutdown-daemon.service：

   [Unit]
   Description=Custom VM Shutdown Trigger Daemon
   After=multi-user.target
   
   [Service]
   Type=simple
   ExecStart=/usr/local/bin/shutdown-daemon.sh
   User=root
   Restart=always
   
   [Install]
   WantedBy=multi-user.target
   

4. 启用并启动服务：systemctl enable --now shutdown-daemon.service
5. 在LXC的post-stop钩子脚本里，创建触发文件：touch /var/run/shutdown-trigger/allow-poweroff
   守护进程会以root权限检测到文件后执行关机，只有容器对应用户能创建这个文件，完全隔离了权限

内容的提问来源于stack exchange，提问作者the_drow