Хорошо, упакую, если беретесь проверить работоспособность (мне сейчас банально некогда).
У меня есть сомнения, что получите то, что ожидаете.
- вывод о первичной загрузке делается по наличию /etc/machine-id, он в свою очередь генерируется на основе /var/lib/dbus/machine-id. Т.е. если /var/lib/dbus/machine-id уже существует, то /etc/machine-id будет генерироваться один и тот же. Кто будет перегенерировать /var/lib/dbus/machine-id я не знаю.
- systemd-firstlogin также задает пароль для root, как это будет происходить для tcb - я не знаю.

Проверю, конечно (если к тому времени мне самому не станет некогда :) ). Но я все равно постараюсь.

Вообще вопрос возник в результате прочтения http://www.freedesktop.org/software/systemd/man/timedatectl.html - там при создании образов (средствами mkimage например) рекомендуют использовать именно systemd-firstboot вместо localectl, timedatectl or hostnamectl.

А откуда возникает сам /var/lib/dbus/machine-id?

Пишут кстати, что systemd-machine-id-setup(1) tool may be used by installer tools to initialize the machine ID at install time - но не похоже, чтоб это у нас работало.

и /var/lib/dbus/machine-id (с помощью /bin/dbus-uuidgen --ensure)
и /etc/machine-id (с помощью /sbin/systemd-machine-id-setup) 
у нас создаются из %post скриптов rpm.
Поэтому чего-то специального в инсталерах скорее всего нет, и так работает.
А вот когда клонируется виртуалка, или разворачивается из одного тарбола несколько контейнеров, их заново никто не переделывает.

(В ответ на комментарий №4)
> и /var/lib/dbus/machine-id (с помощью /bin/dbus-uuidgen --ensure)
> и /etc/machine-id (с помощью /sbin/systemd-machine-id-setup) 
> у нас создаются из %post скриптов rpm.

[root@vbox ~]# cat /var/lib/dbus/machine-id
fb6a5fbb4884f8a4eafcb29f558ec9c5
[root@vbox ~]# rm /var/lib/dbus/machine-id
rm: удалить обычный файл «/var/lib/dbus/machine-id»? y
[root@vbox ~]# /bin/dbus-uuidgen --ensure
[root@vbox ~]# cat /var/lib/dbus/machine-id
fb6a5fbb4884f8a4eafcb29f558ec9c5

Это нормально, что создается тот же UUID?

(В ответ на комментарий №5)
> (В ответ на комментарий №4)
> > и /var/lib/dbus/machine-id (с помощью /bin/dbus-uuidgen --ensure)
> > и /etc/machine-id (с помощью /sbin/systemd-machine-id-setup) 
> > у нас создаются из %post скриптов rpm.
> 
> [root@vbox ~]# cat /var/lib/dbus/machine-id
> fb6a5fbb4884f8a4eafcb29f558ec9c5
> [root@vbox ~]# rm /var/lib/dbus/machine-id
> rm: удалить обычный файл «/var/lib/dbus/machine-id»? y
> [root@vbox ~]# /bin/dbus-uuidgen --ensure
> [root@vbox ~]# cat /var/lib/dbus/machine-id
> fb6a5fbb4884f8a4eafcb29f558ec9c5
> 
> Это нормально, что создается тот же UUID?
надо оба сразу удалить /var/lib/dbus/machine-id и /etc/machine-id

> надо оба сразу удалить /var/lib/dbus/machine-id и /etc/machine-id

Ага, но чтобы перегенерить machine-id у свежесозданного контейнера, нужно, получается, сделать chroot в него?

/sbin/systemd-firstboot упакован в systemd-utils