可通过user namespace将容器内root（uid 0）映射为宿主机非特权uid（如1001），实现无需sudo的安全运行；需配置/etc/subuid与/subgid定义映射范围，podman推荐用--userns=keep-id，docker需启用userns-remap并重启守护进程。
可以通过 user namespace 实现容器内 root 用户映射为宿主机上的非特权普通用户，从而在不依赖 sudo 或 root 权限的前提下安全运行容器。核心在于让容器中 uid 0（即 root）被内核映射到宿主机上一个真实存在的、无特权的普通用户 id（如 1001），这样即使容器内进程以 root 身份运行，它在宿主机视角也只拥有该普通用户的权限。
配置 User Namespace 映射关系
关键是要显式定义 user namespace 的 UID/GID 映射（uid_map / gid_map）。容器运行时（如 runc、podman、docker）需启用 user namespace 支持，并指定映射规则：
- 宿主机上创建普通用户（例如 user1001），UID=1001，GID=1001
- 在容器启动时设置映射：容器内 UID 0 → 宿主机 UID 1001；容器内 UID 1–65535 → 宿主机 UID 1002–65536（可选范围）
- 确保宿主机 /proc/sys/user/max_user_namespaces 允许创建足够数量的 user namespace（默认通常已开启）
使用 Podman 启用用户命名空间（推荐）
Podman 原生支持 rootless 模式，无需额外配置 daemon，直接以普通用户身份运行并自动启用 user namespace：
- 安装 podman（v3.0+），确认 /etc/subuid 和 /etc/subgid 中为当前用户分配了子 ID 范围（如 user1001:100000:65536）
- 执行 podman run --userns=keep-id -it alpine id：容器内 uid=0，但实际对应宿主机 user1001
- --userns=keep-id 表示将当前登录用户 UID/GID 映射为容器内 root，同时保留其子 ID 范围用于内部分配
手动配置 runc 或 Docker（需 root 配置）
若使用 Docker，需先启用 user namespace 支持（不推荐 rootless 场景下用 docker daemon）；更可控的方式是用 runc 手动配置：
- 编辑 config.json 中的 linux.namespaces，添加 {"type": "user"}
- 在 linux.uidMappings 中写入映射数组，例如：
[{"containerID": 0, "hostID": 1001, "size": 1}] - 确保 /proc/self/uid_map 在容器 init 进程启动前可写（通常由运行时自动处理）
验证是否生效
进入容器后检查映射是否正确落地：
- 执行 cat /proc/self/uid_map：应显示类似 0 1001 1（表示容器 UID 0 → 宿主机 UID 1001）
- 执行 id：显示 uid=0(root) gid=0(root)，但该 root 在宿主机无特权
- 尝试在宿主机挂载点写文件（如 /tmp）：若容器挂载了 /tmp，写入行为受宿主机 user1001 权限限制，而非 root
