新しいユーザーの名前空間で「newuidmap」が禁止される原因は何ですか？

私は期待

uid=0(root) gid=0(root) groups=0(root)

両方の出力です

$ rootlesskit id

$ unshare -U bash -c 'newuidmap $$ 0 '"$(id -u)"' 1; id'

しかし、より詳細な-xコマンドは

$ unshare -U bash -xc 'newuidmap $$ 0 '"$(id -u)"' 1; id'

出力は変更されません。

+ newuidmap 41372 0 1000 1
newuidmap: uid range [0-1) -> [1000-1001) not allowed
+ id
uid=65534(nobody) gid=65534(nobody) groups=65534(nobody)

newuidmapユーザーを新しいユーザーの名前空間uidにマップすることが許可されていないと考えられるのはなぜですか。0

ここに含まれる情報の私の理解man 7ユーザーネームスペースはい、すべてのユーザー（CONFIG_USER_NS_UNPRIVILEGED構成されていると仮定）は、新しいユーザーの名前空間を実行またはunshare作成cloneできます（フラグの設定CLONE_NEWUSER）。

今私の主な「追加値」はnewuidmap指定された範囲をマッピングすることですが、/etc/subuid私のstrace仕事はrootlesskit次のとおりです。

[pid 35921] execve("/usr/bin/newuidmap", ["newuidmap", "35909", "0", "1000", "1", "1", "200000", "65536"], 0xc000002480 /* 44 vars */ <unfinished ...>
[....]
[pid 35921] openat(3, "uid_map", O_WRONLY) = 5
[pid 35921] write(5, "0 1000 1\n1 200000 65536\n", 24) = 24

最後に

もちろん、そうでなくてもマッピングは完全に可能です。newuidmap

[user1@host tmp]$ cat > unshare.c << EOF
> #define _GNU_SOURCE
#include <sched.h>
#include <fcntl.h>
#include <string.h>
#include <unistd.h>
#include <stdlib.h>
#include <stdio.h>

int main(int argc, char* argv[])
{
    int fd_uidmap;
    char mapping[255];
    sprintf(mapping,"0 %ld 1\n",(unsigned int) geteuid());
    if (unshare(CLONE_NEWUSER) == -1)
    {
        puts("error\n");
        exit(1);
    }
    fd_uidmap = open("/proc/self/uid_map",O_RDWR,NULL);
    write(fd_uidmap,mapping,strlen(mapping));
    close(fd_uidmap);
    execvp(argv[1], argv+1);
    return 0;
}
EOF
[user1@host tmp]$ gcc unshare.c -o unshare
[user1@host tmp]$ ./unshare id
uid=0(root) gid=65534(nobody) groups=65534(nobody)