containerd ctr配置--uidmap映射宿主机非root用户未生效问题

containerd 1.4.3 版本的 ctr 工具在 --uidmap 参数的实现逻辑上，与后续1.6+版本存在行为差异：--uidmap 仅负责传入指定的UID映射规则，不会自动触发独立用户命名空间的创建。如果仅传入映射规则、不显式开启独立user namespace，对应的映射配置会被运行时静默丢弃，最终容器直接运行在宿主机的初始命名空间中，宿主机视角看到的容器进程自然仍以root身份运行。

• 校验容器生成的OCI运行时配置
  容器启动后找到对应task的配置文件（默认路径为 /var/run/containerd/io.containerd.runtime.v2.task/default/<容器ID>/config.json），重点检查两个核心字段：
  1. linux.namespaces 数组中是否包含类型为 user 的命名空间条目：如果缺失，说明独立user namespace根本没有被创建，UID映射规则没有生效的载体
  2. linux.uidMappings 数组中是否存在配置的 0:5000:4999 映射规则：如果缺失，说明传入的参数根本没被运行时正确解析
• 检查系统级前置能力
  执行 cat /proc/sys/user/max_user_namespaces，如果返回值为0，说明系统层面完全禁用了用户命名空间，任何映射配置都不会生效。
  确认运行containerd的进程是否持有 CAP_SETUID、CAP_SYS_ADMIN、CAP_SYS_USER_NS 权限：如果containerd本身运行在受限沙箱环境、缺失这些能力，创建user namespace会静默失败，运行时会自动降级为宿主机命名空间运行，全程不会抛出显性错误。

• 1.4.3版本必须将创建独立user namespace的开关与uidmap参数搭配使用，正确的启动命令为：
  sudo ctr run --uidmap 0:5000:4999 --user-namespace docker.io/library/test:latest test
• 如果系统层面禁用了user namespace，可临时开启：
  sudo sysctl -w user.max_user_namespaces=15000
  若需永久生效，可将 user.max_user_namespaces = 15000 写入 /etc/sysctl.conf 后执行 sysctl -p 加载配置。

修正启动命令后，按以下方式校验生效状态：

• 容器内执行 ps -eo ruser,rgroup,comm，进程显示为root属于正常现象——映射关系生效后，容器内看到的uid 0对应用户命名空间内的root身份
• 宿主机上执行 ps -eo uid,gid,cmd | grep /bin/sh，对应容器内的shell进程uid应为5000，不再是宿主机的uid 0，即说明映射规则已正常生效。

内容的提问来源于stack exchange，提问作者Wolfson