ユーザ名前空間でコンテナを分離 — Docker-docs-ja 24.0 ドキュメント

Linux 名前空間（namespace）は実行中のプロセスに対する隔離（isolate）を提供し、システムリソースに対するアクセスを制限しますが、実行中のプロセスは制限されていることが分かりません。Linux 名前空間に関する情報は、 Linux namespaces をご覧ください。 コンテナ内部からの権限昇格による攻撃を防ぐ最大の方法は、コンテナのアプリケーションを非特権ユーザで実行することです。 コンテナ内において、プロセスを root ユーザで実行しなければならない場合は、この root ユーザを、Docker ホスト上のより権限の少ないユーザに再割り当て（re-map）します。 名前空間内では通常 0 から 65536 という範囲の UID が正しく機能しますが、割り当て対象のユーザには、この範囲内で UID を定めます。 ただしこの UID はホストマシン上では何の権限もない