user namespace 是 docker 安全加固的关键机制，通过将容器内 root（uid 0）映射为宿主机非特权子 uid（如 100000），实现权限隔离；需配置 /etc/subuid、/etc/subgid，修改 daemon.json 启用 userns-remap，并重启 docker 服务验证生效。
启用 User Namespace 是 Docker 安全加固的关键一步，它能让容器内的 root 用户在宿主机上实际以普通用户身份运行，从根本上限制越权风险。这不是“开个开关”就能生效的配置，而是一套需协同设置的机制。
准备宿主机子用户/组映射
容器内 UID 0（root）必须映射到宿主机一个非特权用户的子 ID 范围，这由两个系统文件控制：
-
/etc/subuid：定义用户可用的从属 UID 区间，例如：
dockremap:100000:65536表示用户dockremap可分配 65536 个子 UID（100000–165535） -
/etc/subgid：同理定义子 GID 映射，内容格式与 subuid 一致，如：
dockremap:100000:65536 - 若使用默认用户
default，Docker 会自动创建dockremap用户并写入映射，但需确保该用户存在且文件可读
配置 Docker Daemon 启用映射
修改 /etc/docker/daemon.json，加入 userns-remap 配置：
- 指定映射用户：
{"userns-remap": "dockremap"} - 或启用自动模式：
{"userns-remap": "default"} - 保存后重启 Docker：
sudo systemctl restart docker - 验证是否生效：
docker info | grep "userns"应显示类似Userns: enabled
处理内核限制与兼容性问题
某些系统默认禁用或限制 User Namespace 数量：
- 检查当前上限：
cat /proc/sys/user/max_user_namespaces，若为 0 则无法启用 - 临时提升：
sudo sysctl user.max_user_namespaces=15000 - 永久生效：将
user.max_user_namespaces = 15000写入/etc/sysctl.conf - 注意：启用后，Docker 会重置
/var/lib/docker所有者，原有镜像和容器不可直接复用，需重新拉取或构建
容器内应用适配建议
User Namespace 启用后，部分行为会发生变化，需提前调整：
- 挂载卷时，宿主机目录权限需匹配映射后的 UID/GID（例如容器内 chown 0:0 的文件，在宿主机上实际属 UID 100000）
- 避免镜像中硬编码依赖 UID 0 启动（如旧版 MySQL），推荐改用
USER 1001指令以非 root 运行 - 若必须用 root，确保应用不尝试修改宿主机全局资源（如绑定低端端口、加载内核模块等），这些操作在映射后会被拒绝
