Gem

могу предложить:
1. Копать в сторону криптопровайдера NSS - у него есть свои контейнеры
2. SELinux или прочие схемы усиления контроля доступа
3. Хуки с криптоконтейнерами aka LUKS
4. Аппаратные токены pkcs11 (не подскажу на счёт nginx)
так или иначе нужно будет делать обвязку

Вам не в сторону nginx смотреть надо, а в сторону php-fpm
Попробую вкратце
nginx работает только со статикой - динамику проксирует
в общем случае на php-fpm иногда на apache (вообще хоть на ISS)
соответственно - делаем несколько инстантсов бекенда на php-fpm c разными настройками
а в конфигах вхостов нжинкса прописываем нужные инстансы
Вопросы?