Rootless Docker 无法在无管理员权限下部署，因需 root 初始化三项：开启 user.max_user_namespaces 内核参数、写入 /etc/subuid 和 /etc/subgid 映射、安装 slirp4netns 等依赖工具；普通用户仅可在预配置环境中执行 curl -fsSL https://get.docker.com/rootless | sh 启动。
不能。Rootless Docker 本身不要求管理员权限运行，但它的部署前置依赖必须由 root 执行一次——普通用户无法绕过内核参数、/etc/subuid 和 /etc/subgid 配置这三道门槛。
为什么“无管理员权限”下根本跑不起来 Rootless Docker
Rootless 模式不是“开箱即用”的免配置方案。它依赖三个系统级基础能力，而这些能力只能由 root 初始化：
-
user.max_user_namespaces内核参数必须开启（否则dockerd-rootless.sh启动直接失败） -
/etc/subuid和/etc/subgid必须写入该用户的 UID/GID 映射范围，普通用户无权写入这两个文件 - 依赖工具如
slirp4netns、uidmap、rootlesskit通常不在普通用户 PATH 中，且安装需 root 权限
你看到的 curl -fsSL https://get.docker.com/rootless | sh 脚本，执行时会检查上述三项；任一缺失，就会报类似 user namespace not enabled 或 subuid/subgid not configured 的错误，而不是静默降级。
如果你真没有 root 权限，能做什么
在纯受限环境（比如共享服务器、教育机房、CI runner 容器）中，可尝试以下路径，但都有明确边界：
- 确认宿主机是否已启用 Rootless 支持：运行
cat /proc/sys/user/max_user_namespaces，输出大于 0 表示内核已开；再查grep $(whoami) /etc/subuid，若有结果说明映射已配好 - 若已预配好，直接执行官方脚本：
curl -fsSL https://get.docker.com/rootless | sh，然后按提示设置XDG_RUNTIME_DIR和PATH - 若未预配，且你无法联系管理员，
docker命令本身仍可用（客户端二进制可执行），但所有操作都会卡在连接 socket 失败——此时唯一可行的是改用podman（无需守护进程，完全用户态，podman run可直跑）
常见报错和对应检查点
遇到启动失败，别急着重装，先盯住这几条关键日志：
-
failed to mount overlay: operation not permitted→ 存储驱动不兼容，Rootless 只支持overlay2（需内核 ≥5.11）、fuse-overlayfs或vfs；检查docker info | grep "Storage Driver" -
Failed to connect to bus: $DBUS_SESSION_BUS_ADDRESS→ systemd user session 未激活，改用dockerd-rootless.sh --addr unix:///tmp/docker.sock手动指定 socket 路径 -
port is unavailable: listen tcp :80: bind: permission denied→ 不是权限问题，是 Rootless 本就不支持端口；必须改用-p 8080:80这类映射
安全边界比想象中更窄
Rootless 模式确实让 dockerd 进程以普通用户身份运行，但它依然能通过 --privileged、--cap-add=SYS_ADMIN 或挂载 /proc//sys 等方式提升权限。真正隔离靠的不是“非 root”，而是命名空间 + cgroup v2 + seccomp 白名单组合。如果你没显式启用 cgroup v2（systemctl --user show-environment | grep CGROUP），资源限制（如 --memory）就只是摆设。这点极易被忽略，却直接影响生产可用性。
