Wo am besten Drupal8 und Composer auf einem VPS installieren?

Ich glaube, Du wirfst hier ein paar Dinge durcheinander. Was wie funktioniert hängt von den Einstellungen im Apache aus. "Normalerweise" hat der Apache eine eigene User-ID www-data und der eingeloggte User (über SSH oder FTP) eine andere. Das ist suboptimal, denn dann kann dieser User nicht mit FTP oder composer in den Bereich schreiben, den der Apache bearbeiten können muß. Auf meinem kleinen Server, mit dem ich Drupal 8 Training gebe, habe ich es also so eingestellt, daß der eingeloggte User und der Apache für die Seiten dieses Users die gleiche ID haben. Danach ist das Problem nicht mehr existent.
Ich benutze für meine Drupal 8 Installation mit Composer die Anweisungen auf dieser Webseite und installiere Drupal mit dem Befehl
composer create-project drupal-composer/drupal-project:8.x-dev some-dir --stability dev --no-interaction
Danach liegt in den Verzeichnis "some-dir" (Du darfst Dir da einen Namen aussuchen) die Drupal Tools wie drush und die drupal-console sowie das vendor Verzeichnis und die Composer-Dateien composer.json und composer.lock. Außerdem wird ein web benanntes Verzeichnis erstellt, indem sich jetzt die eigentliche Drupal-Installation befindet. Das DocumentRoot für den Apache muß dann genau dieses web-Verzeichnis sein, damit alles funktioniert. An das vendor-Verzeichnis, die Composer-Dateien und die Tools kommt der Apache also nicht heran und somit auch kein anderer über den Browser-Zugang.

Hier ist die Konfigurations-Datei für eine Seite vom User1

Hiermit bekommt der Apache bei der Seite, deren DocumentRoot das Verzeichnis "/home/user1/www/step1" ist, als User-ID und Group-ID user1.
Damit das so geht, mußte ich das Modul mpm_itk bei meinen Apache-Erweiterungen installieren. Wie das jetzt bei Deinen VPS geht kann ich Dir nicht sagen. Im Zweifel den Support Deines Hosters fragen. Meine Installation läuft unter Ubuntu 16.4LTS.

Danke dir für die schnelle Antwort. Auf meinem Server kann ich praktisch alles was und wie ich will installieren, einschliesslich Partitionierung der Festplatte und Betriebsystem. Der Hoster leistet da keinen Support für die einzelnen Anwendungen. Das kann man aber notfalls alles ergoogeln. Für Drupal8 gibt es aber noch nicht so viele Anleitungen.

Um das Ganze ohne root-Rechte (mit denen man beim Composer nicht arbeiten soll!) zu installieren, hab ich den Ordner /var/www/drupal8/ in Besitz genommen. So hat die Installation geklappt. Für den produktiven Einsatz soll der Besitzer aber root sein, aus Sicherheitsgründen und laut Empfehlungen von Apache (wenn ich mich nicht irre). Nur die Ordner und die Dateien, wo Apache schreiben darf, sollten dem Besitzer oder der Gruppe www-data angehören. Wenn man diese Sicherheitsempfehlung umsetzt, dann kann man mit composer ohne root Rechte nix weiter machen. Ich google und google und finde gar nichts zu diesem Thema. Alle möglichen Anleitungen verschweigen das sehr geschickt. Wie haben das die anderen gelöst?

Nachtrag: Auf meinem Server läuft Ubuntu 18.04 und ich hab mit Composer template for Drupal projects installiert.

Bei meinem Provider haben FTP/SSH-User und der Apache-Process dieselbe User-ID. Die Webseiten liegen dann im /home des Users unter www/.....
Da ich für das Document Root jeder Domain oder Subdomain den Pfad bestimmen kann, habe ich und sehe ich auch keine Probleme. Die Seiten liegen also nicht unterhalb von /var.

Na ja, dann hast du bei Deinem Provider keinen Server sondern ein Webhosting-Paket mit SSH-Zugang ohne echte root-Rechte. Das Verzeichnis /var/www/ ist für dich mit Schreibrechten wahrscheinlich gar nicht zugänglich.

Stimmt, aber warum sollte dieser Aufbau schlecht sein? Du sagst ja selbst, Du kannst Dir Deinen Server aufsetzen, wie Du willst. Warum also nicht einfach erprobte Wege gehen?

Ja, da hast du recht, das könnte ich machen. :)