Linux用户命名空间核心是通过UID/GID映射实现权限虚拟化，租户内可为root（UID 0）但不影响宿主机，需结合映射配置、能力管控及Mount/PID等命名空间协同使用。
多租户场景下配置Linux用户命名空间（User Namespace），核心是让每个租户在逻辑上拥有独立的UID/GID映射，从而实现权限虚拟化——租户内可为root（UID 0），但该权限无法越界影响宿主机。这不是单纯创建命名空间，而是配合UID映射、能力管控和文件系统隔离的一整套安全实践。
启用并验证用户命名空间支持
确保内核已启用且未被禁用：
- 检查内核版本：需 ≥ 3.8（推荐 ≥ 5.4），运行 uname -r 确认
- 确认未禁用：cat /proc/sys/user/max_user_namespaces 应返回非零值（如65535）；若为0，需在 /etc/sysctl.conf 中设 user.max_user_namespaces=65535 并执行 sysctl -p
- 普通用户默认可创建用户命名空间，无需 root 权限，这是其关键优势
创建带UID/GID映射的用户命名空间
使用 unshare 工具快速构建，并手动定义内外ID映射：
- 创建命名空间并挂载新根文件系统：unshare --user --pid --mount-proc --fork /bin/bash
- 进入后，映射当前用户（宿主机UID 1001）到命名空间内UID 0：echo "0 1001 1" > /proc/self/uid_map
- 同时写入GID映射：echo "0 1001 1" > /proc/self/gid_map
- 注意：写入 uid_map 前必须先降权（drop capabilities），否则会报“Operation not permitted”。可在 unshare 后立即执行：echo "deny" > /proc/self/setgroups
结合Mount与PID命名空间强化隔离
仅用户命名空间不足以防止逃逸，必须组合其他命名空间形成完整隔离边界：
- 启动时务必加上 --mount --pid --uts --ipc 参数，例如：unshare --user --pid --mount --uts --ipc --fork /bin/bash
- 在新命名空间中执行 mount --make-rprivate /，避免挂载传播影响宿主机
- 使用 chroot 或绑定挂载（bind mount）提供干净的根文件系统，确保租户无法访问宿主机目录树
- 验证隔离效果：在新环境中运行 ps aux 只能看到自身命名空间内的进程；hostname 可独立设置，不影响宿主机
集成到容器或服务部署流程
生产环境不建议手写 unshare 脚本，应通过标准容器运行时固化策略：
- LXC/LXD 默认启用用户命名空间，配置文件中指定 lxc.idmap = u 0 100000 65536 和 lxc.idmap = g 0 100000 65536，将容器内UID 0–65535映射到宿主机UID 100000–165535
- Docker 24.0+ 支持 --userns-remap=default，自动为每个容器分配唯一UID范围，无需手动配置
- 配合AppArmor或Seccomp策略，禁止 setuid、chown 等危险系统调用，防止映射绕过
